Autenticación de dos factores y políticas de contraseñas en cPanel y WHM

Si alguien obtiene la contraseña de WHM, controla todos los sitios web y buzones del servidor; si obtiene una contraseña de cPanel, controla el sitio, el correo y las bases de datos de esa empresa. La solución es por capas: active la política de Two-Factor Authentication en WHM, exija 2FA a root, a los revendedores y al personal, suba el nivel en Password Strength Configuration y aplíquelo a las cuentas existentes desde Configure Security Policies, extienda esas políticas a las solicitudes de API y reemplace las contraseñas compartidas por tokens de API limitados. A continuación le explicamos cada paso con los nombres de menú que usa cPanel hoy, y dónde no llega la 2FA.

Cómo funciona la 2FA en cPanel y WHM

cPanel y WHM usan códigos de un solo uso basados en tiempo, generados por una aplicación de autenticación. La documentación de cPanel menciona Google Authenticator y Duo Mobile como aplicaciones compatibles; la mayoría de las aplicaciones TOTP estándar funcionan igual. Después de la contraseña, el usuario escribe el código de seis dígitos que aparece en el teléfono.

Antes de implementarla, tenga en cuenta dos detalles:

• El reloj del servidor debe estar en hora. Si los usuarios ven "The security code is invalid" al configurarla, la documentación de cPanel apunta a una hora incorrecta en el servidor. Mantenga NTP o chrony funcionando.
• WHM no puede activarla por los usuarios de cPanel. Root activa la política para todo el servidor; luego cada usuario de cPanel configura la 2FA en su propia cuenta.

Paso 1: Active la política en WHM

1. Inicie sesión en WHM como root y abra WHM » Security Center » Two-Factor Authentication for WHM.
2. Ponga el interruptor en On. La página confirma "The Two-Factor Authentication Security Policy is Enabled."
3. En la pestaña Settings, defina un nombre de Issuer (por ejemplo, el nombre de su empresa) para que los usuarios reconozcan la entrada en su aplicación. Si lo deja en blanco, se usa el nombre del servidor.

Configure la 2FA para root y los revendedores

En la pestaña Manage My Account, haga clic en Set Up Two-Factor Authentication, escanee el código QR, escriba el código y haga clic en Configure Two-Factor Authentication. Los revendedores hacen lo mismo desde su acceso a WHM. cPanel indica que los revendedores necesitan el privilegio Create Accounts para usar 2FA en WHM.

Paso 2: Pida a cada usuario de cPanel que la active

Cada usuario entra en cPanel » Security » Two-Factor Authentication, hace clic en Set Up Two-Factor Authentication, escanea el código y lo confirma. Entregue a sus clientes o a su personal una hoja de instrucciones de una página y una fecha límite.

Puede seguir el avance en la pestaña Manage Users de WHM, que lista las cuentas que ya tienen 2FA activa.

Prepárese para teléfonos perdidos

La propia guía de cPanel es directa: sin el teléfono, el usuario no puede iniciar sesión. No hay un código de recuperación de autoservicio, así que decida de antemano:

• Quién puede restablecer la 2FA (root o un administrador designado) y cómo verifica a la persona que lo pide, por ejemplo devolviendo la llamada a un número conocido.
• Cómo se restablece: en Manage Users, haga clic en Disable junto a la cuenta y pida al usuario que la configure de nuevo.
• Dónde está el respaldo de root: guarde el secreto 2FA de root o un segundo dispositivo registrado en su gestor de contraseñas o en una caja fuerte, y mantenga el acceso de consola para emergencias.

Paso 3: Defina y aplique la fortaleza de las contraseñas

Password Strength Configuration

Abra WHM » Security Center » Password Strength Configuration. cPanel califica las contraseñas de 0 a 100 y recomienda un Default Required Password Strength de 40 o más. Puede fijar valores más estrictos para funciones concretas, como las cuentas de correo o FTP, que son blancos frecuentes.

Aplíquela a las cuentas existentes

De forma predeterminada, las nuevas reglas de fortaleza solo se aplican a contraseñas nuevas. Para exigirlas en las cuentas que ya existen, abra WHM » Security Center » Configure Security Policies y marque Password Strength.

Replantee el vencimiento de contraseñas

La misma página ofrece Password Age, que obliga a cambiar la contraseña tras cierto número de días. La guía actual del NIST (SP 800-63B-4) recomienda contraseñas largas comparadas con una lista de contraseñas comunes y filtradas, e indica que no se deben exigir cambios periódicos, sino solo cuando haya indicios de que la contraseña fue comprometida. Para la mayoría de las empresas, frases de contraseña más largas junto con 2FA funcionan mejor que un cambio cada 90 días, que suele producir contraseñas predecibles. Si un marco de cumplimiento que usted sigue exige la rotación, cúmplalo y déjelo documentado.

Cierre el hueco del shell

cPanel advierte que los usuarios con acceso a shell pueden saltarse las reglas de fortaleza con el comando passwd. Dé acceso a shell solo a las cuentas que lo necesiten.

Paso 4: Extienda las políticas a las solicitudes de API

Las integraciones suelen ser el eslabón más débil. En Configure Security Policies, la sección Security Policy Extensions incluye la opción API requests, que aplica sus políticas (incluida la 2FA) a las llamadas a la API de WHM autenticadas con usuario y contraseña. La documentación de cPanel señala que, sin ella, las llamadas de API con contraseña pueden esquivar la verificación 2FA.

Lo mejor es dejar de usar contraseñas para la automatización:

• En WHM » Development » Manage API Tokens, cree un token por integración con un nombre claro.
• Desmarque todos los privilegios que la integración no necesite. cPanel advierte especialmente sobre Everything, Change Password, Create User Session y Manage API Tokens.
• Fije una fecha de vencimiento y restrinja el token a las direcciones IP de la integración.
• Los usuarios de cPanel pueden hacer lo mismo en cPanel » Security » Manage API Tokens.

Paso 5: Capas adicionales opcionales

Interfaz de WHM	Qué agrega	Cuándo usarla
Configure Security Policies » Limit logins to verified IP addresses	Preguntas de seguridad cuando alguien entra desde una IP no reconocida	Equipos de administración pequeños con ubicaciones estables
Security Questions	Administra sus preguntas y las IP reconocidas	Junto con la opción anterior
Host Access Control	Permite o bloquea por IP servicios como WHM y SSH	Cuando los administradores trabajan desde IP fijas o una VPN
cPHulk Brute Force Protection	Bloquea IP y cuentas tras varios inicios de sesión fallidos	Siempre

Lo que la 2FA no cubre

La 2FA protege los accesos web de cPanel, WHM y Webmail. No agrega una solicitud de código a:

• Clientes de correo que se conectan por IMAP, POP3 o SMTP, que siguen usando la contraseña del buzón.
• Cuentas FTP, que conviene reemplazar por SFTP cuando sea posible.
• SSH, que debe usar llaves en lugar de contraseñas (vea SSH Password Authorization Tweak en WHM).
• Tokens de API, que por diseño no pasan por la 2FA, por lo que sus privilegios y límites de IP son clave.

Por eso las contraseñas de buzón fuertes y únicas, y cPHulk, siguen siendo importantes después de activar la 2FA.

Lista de higiene de cuentas

1. Política de 2FA activa; root, revendedores y personal inscritos.
2. Hoja de configuración y fecha límite entregadas a los usuarios; avance revisado en Manage Users.
3. Un proceso escrito para restablecer la 2FA tras la pérdida de un teléfono.
4. Fortaleza de contraseña de 40 o más, aplicada a las cuentas existentes.
5. Solicitudes de API cubiertas por las políticas de seguridad; integraciones migradas a tokens limitados y con vencimiento.
6. Acceso a shell limitado; SSH solo con llaves.
7. Cuentas, tokens y llaves SSH de exempleados eliminados el mismo día de su salida.

¿Necesita ayuda para implementarla?

Activar la 2FA para un administrador toma minutos; lograr que todos los clientes y empleados se inscriban sin dejar a nadie fuera requiere planificación. Max, nuestro fundador, está certificado en cPanel & WHM, y nuestro equipo ayuda a empresas de Miami-Dade y todo el sur de Florida a proteger sus cuentas de hosting, en español o en inglés. Solicite una evaluación de TI gratuita y revisaremos con usted la seguridad de acceso de su WHM.

Fuentes

• Two-Factor Authentication for WHM – cPanel & WHM Documentation
• Two-Factor Authentication for cPanel – cPanel & WHM Documentation
• Password Strength Configuration – cPanel & WHM Documentation
• Configure Security Policies – cPanel & WHM Documentation
• Manage API Tokens in WHM – cPanel & WHM Documentation
• NIST SP 800-63B-4: Authentication and Authenticator Management