Kontrol panelinde iki adımlı doğrulama ve parola politikası

Bu rehberde ne yapacağız?

Çalınan veya tahmin edilen parola, kontrol paneli ele geçirilmesinin en yaygın nedenidir. Bu rehberde cPanel, Plesk ve DirectAdmin gibi panellerde iki adımlı doğrulamayı (2FA) etkinleştirmenin genel yolunu, kurumsal bir parola politikasının nasıl yazılacağını ve sunucu hesapları için pratik komutları göreceksiniz. Tahmini süre 30 dakikadır.

Panellerin 2FA ayarlarının menü adları sürüme göre değiştiği için ayarların ekran yollarını tek tek yazmak yerine genel yapıyı anlatıyoruz. Üreticinin güncel belgesi her zaman referanstır.

Gereksinimler

• Panelde yönetici yetkisi (kullanıcıların 2FA’sını zorunlu kılmak için)
• Bir kimlik doğrulayıcı uygulama (TOTP destekleyen herhangi bir uygulama) ve yedek cihaz
• Kurumsal bir parola yöneticisi (ekip için paylaşımlı kasa)
• Sunucuya SSH erişimi (sistem hesabı politikası için)
• Kurtarma kodlarını saklayacağınız güvenli bir yer

Adım adım iki adımlı doğrulama ve parola politikası

1. Önce yönetici hesaplarını belirleyin

Panelde hangi hesapların yönetici (root, admin, reseller) yetkisine sahip olduğunu listeleyin. Kullanılmayan veya paylaşılan hesapları kapatın. Her kişinin kendi hesabı olmalıdır; ortak “admin” hesabı denetimi imkansız kılar.

2. Yönetici hesaplarında 2FA’yı etkinleştirin

Panelin yönetim arayüzünde kullanıcı güvenliği bölümünden iki adımlı doğrulamayı açın. Genel akış şöyledir: kimlik doğrulayıcı uygulamayla ekrandaki QR kodunu tarayın, uygulamanın ürettiği altı haneli kodu panele girin ve kurulumu onaylayın. cPanel, Plesk ve DirectAdmin 2FA desteği sunar; Plesk için bazı sürümlerde bu özellik bir uzantı olarak gelebilir.

Kurulum sırasında verilen kurtarma kodlarını bir parola yöneticisinde saklayın. Telefon kaybında yöneticinin kendi hesabına giremeyeceği bir durumdan kaçınmak için ikinci bir cihaz kaydetmeniz iyi olur.

3. Müşteri hesapları için 2FA’yı teşvik edin veya zorunlu kılın

Hosting müşterilerinde 2FA’yı zorunlu kılmak sürtünme yaratabilir. Önce bilgilendirme yapın, ardından reseller ve yönetici düzeyindeki hesaplardan başlayarak zorunluluğu kademeli getirin. Panelin sunduğu zorunlu kılma seçeneklerini üretici belgesinden doğrulayın.

4. Parola politikasını yazın

Önerilen asgari politika şöyledir:

• En az 14-16 karakter; uzunluk karmaşıklıktan daha önemlidir
• Başka hizmetlerde kullanılan parolaların yeniden kullanılmaması
• Sızıntı listelerinde bulunan parolaların reddedilmesi
• Parola paylaşımı yerine parola yöneticisi
• Şüphe durumunda derhal parola değişimi (düzenli zorunlu değişim yerine)

5. Güçlü parola üretin

Rastgele ve uzun parolaları komut satırında kolayca üretebilirsiniz.

openssl rand -base64 24

Çıktıyı doğrudan parola yöneticisine kaydedin; terminal geçmişinde bırakmamak için üretilen parolayı komutun argümanı olarak yazmayın.

6. Sunucudaki sistem hesapları için parola kalitesi kuralları

Linux sunucuda parola kalitesini pwquality ile zorlayabilirsiniz. Debian/Ubuntu’da libpam-pwquality, RHEL tabanlı sistemlerde genellikle libpwquality paketi kullanılır.

# Debian/Ubuntu
sudo apt install libpam-pwquality

# AlmaLinux/Rocky
sudo dnf install libpwquality

sudo nano /etc/security/pwquality.conf

minlen = 14
minclass = 3
maxrepeat = 3

Bu değerler yeni belirlenen parolalar için geçerli olur; mevcut parolalar değişmez. Root kullanıcısı başka bir hesabın parolasını belirlerken kurallar varsayılan olarak yalnızca uyarı verir; root için de zorlamak istiyorsanız dosyaya enforce_for_root satırını ekleyin.

7. Parola yaşlandırma ve hesap kilitleme

Parola geçerlilik süresini yalnızca gerekli olduğunda kullanın. Belirli bir hesap için politika görmek ve ayarlamak için:

sudo chage -l kullaniciadi
sudo chage -M 180 kullaniciadi

Başarısız giriş denemelerini sınırlamak için panelin brute force korumasını ve SSH için Fail2Ban gibi bir aracı birlikte kullanın. Yerel hesaplarda PAM düzeyinde kilitleme için pam_faillock kullanılabilir (RHEL tabanlı sistemlerde /etc/security/faillock.conf); yanlış yapılandırma root dahil herkesi kilitleyebileceği için önce konsol erişiminizi doğrulayın.

Doğrulama

• Yönetici hesabından çıkış yapıp yeniden giriş deneyin; parolanın ardından doğrulama kodu istenmelidir.
• Kurtarma kodlarından birini test hesabında deneyin ve tekrar kullanılamadığını görün.
• sudo chage -l kullaniciadi çıktısında ayarladığınız süreler görünmelidir.
• Bir test kullanıcısıyla (root ile değil) oturum açıp passwd ile zayıf bir parola belirlemeyi deneyin; sistem reddetmelidir.

Sık karşılaşılan sorunlar

• Kod kabul edilmiyor: Cihazın saati kayık olabilir; telefonun saatini otomatik senkronizasyona alın ve sunucunun saatini timedatectl ile doğrulayın.
• Telefonu kaybettim: Kurtarma kodlarını kullanın veya panel yöneticisinden 2FA’nın sıfırlanmasını isteyin.
• Müşteriler 2FA’ya direniyor: Önce yöneticileri zorunlu kılın, müşteriler için yönlendirici bir yardım sayfası hazırlayın.
• pwquality kuralları çalışmıyor: PAM yapılandırmasında modülün etkin olduğunu ve doğru dosyayı düzenlediğinizi kontrol edin.

Güvenlik ve bakım notları

• SMS yerine TOTP uygulaması veya donanım anahtarı tercih edin.
• Kurtarma kodlarını çevrimdışı ve güvenli saklayın.
• Ayrılan çalışanların hesaplarını aynı gün kapatın.
• Yönetici hesaplarını altı ayda bir gözden geçirin.
• Giriş günlüklerinde olağan dışı ülke ve saatlerdeki girişleri izleyin.
• Parola politikasını yazılı olarak ekibe duyurun.