Activación de autenticación de dos factores (2FA) en Plesk

¿Por qué necesitas activar la autenticación de dos factores (2FA) en Plesk?

La seguridad en la administración de tu servidor es una prioridad absoluta. Plesk es una de las herramientas de gestión de hosting más potentes y utilizadas del mundo, pero precisamente por eso, se convierte en un objetivo atractivo para los atacantes. Un acceso no autorizado a tu panel de control puede tener consecuencias devastadoras: desde la eliminación de tus sitios web hasta el robo de datos confidenciales de tus clientes.

La autenticación de dos factores (2FA) añade una capa de seguridad extra que hace que sea prácticamente imposible que un intruso acceda a tu cuenta, incluso si ha conseguido robar tu contraseña. Piensa en ello como una doble puerta blindada: la primera puerta es tu contraseña (algo que sabes) y la segunda es un código único que se genera en tu teléfono (algo que tienes). Sin ambas llaves, nadie puede entrar.

Este tutorial está diseñado para que, incluso si no tienes experiencia técnica avanzada, puedas activar y configurar el 2FA en tu panel de Plesk en menos de cinco minutos. Vamos a ello.

¿Qué es exactamente el 2FA y cómo funciona?

El 2FA, o autenticación de dos factores, es un método de verificación de identidad que requiere dos credenciales diferentes para acceder a un sistema. En el caso de Plesk, el proceso es el siguiente:

1. Primer factor: Tu nombre de usuario y tu contraseña habituales.
2. Segundo factor: Un código de seis dígitos que se genera dinámicamente en una aplicación de autenticación en tu smartphone (como Google Authenticator, Authy o Microsoft Authenticator).

Este código cambia cada 30 segundos aproximadamente, por lo que es único y efímero. Esto significa que aunque alguien intercepte tu código, no podrá reutilizarlo más adelante. La combinación de ambos factores crea una barrera de seguridad extremadamente robusta.

Requisitos previos antes de activar el 2FA en Plesk

Antes de comenzar con el tutorial, asegúrate de tener lo siguiente a mano:

• Acceso de administrador a Plesk: Necesitas tener privilegios de administrador para poder modificar la configuración de seguridad de tu propia cuenta. Si eres un usuario de reventa o un cliente, el proceso es igual, pero es posible que necesites contactar con tu proveedor de hosting si no tienes permisos.
• Un smartphone con una aplicación de autenticación instalada. Las más populares y gratuitas son:
  • Google Authenticator (disponible para Android e iOS).
  • Authy (disponible para Android, iOS y escritorio).
  • Microsoft Authenticator (disponible para Android e iOS).
• Acceso a tu correo electrónico. Plesk te pedirá un correo de respaldo para poder recuperar el acceso en caso de que pierdas tu teléfono.

[INFO] Si no tienes ninguna aplicación de autenticación, te recomendamos instalar Google Authenticator desde la tienda oficial de tu sistema operativo. Es la más sencilla de usar y es perfectamente compatible con Plesk.

Paso a paso: Cómo activar el 2FA en tu cuenta de Plesk

Una vez que tengas todo listo, sigue estos pasos al pie de la letra. Es un proceso muy intuitivo.

Paso 1: Accede a tu panel de Plesk

Abre tu navegador web favorito (Chrome, Firefox, Edge, etc.) y escribe la dirección de tu servidor seguida del puerto de acceso. Normalmente, la URL es algo así como https://tu-dominio.com:8443 o https://tu-ip:8443. Si no estás seguro de la URL exacta, consulta el correo de bienvenida de tu proveedor de hosting.

Introduce tu nombre de usuario (normalmente admin) y tu contraseña. Haz clic en Iniciar sesión.

Paso 2: Navega hasta la configuración de tu cuenta

Una vez dentro del panel, mira en la esquina superior derecha. Verás tu nombre de usuario o el icono de tu perfil. Haz clic en él y se desplegará un menú con varias opciones.

Selecciona Mi perfil o Configuración y preferencias. El nombre exacto puede variar ligeramente según la versión de Plesk que estés utilizando, pero siempre lo encontrarás en ese menú desplegable.

Paso 3: Encuentra la sección de autenticación de dos factores

En la página de tu perfil, busca una pestaña o sección que diga Autenticación de dos factores o Seguridad. En las versiones más recientes de Plesk, esta opción suele estar claramente visible en el menú lateral izquierdo de la página de perfil.

Haz clic en esa sección. Plesk te mostrará un mensaje explicando los beneficios del 2FA y un botón que dice Activar la autenticación de dos factores o Configurar. Haz clic en ese botón.

Paso 4: Configura tu aplicación de autenticación

Este es el paso más importante. Plesk te mostrará un código QR en la pantalla. Este código QR es una clave secreta que vincula tu cuenta de Plesk con tu aplicación de autenticación.

Abre la aplicación de autenticación en tu smartphone y busca la opción de Añadir una cuenta o Escanear código QR.

• En Google Authenticator: Toca el icono del signo "+" y selecciona "Escanear código QR".
• En Authy: Toca el icono del signo "+" en la parte inferior y selecciona "Escanear código QR".
• En Microsoft Authenticator: Toca el icono de los tres puntos o el signo "+" y selecciona "Escanear código QR".

Apunta la cámara de tu teléfono hacia la pantalla de tu ordenador y escanea el código. La aplicación añadirá automáticamente una nueva cuenta llamada, generalmente, "Plesk" o "Administrador de Plesk".

[WARNING] No cierres la pestaña de Plesk ni actualices la página mientras realizas este paso. Si lo haces, el código QR cambiará y tendrás que empezar de nuevo.

Paso 5: Verifica el código de autenticación

Después de escanear el código QR, la aplicación de autenticación comenzará a generar un código de 6 dígitos que cambia cada 30 segundos. En la pantalla de Plesk, verás un campo de texto que dice Código de verificación o Código de un solo uso.

Introduce el código de 6 dígitos que muestra tu aplicación en ese momento. Es importante que lo hagas rápidamente, antes de que expire y se genere un código nuevo.

Haz clic en Activar o Verificar y guardar.

Paso 6: Guarda los códigos de respaldo (¡Crítico!)

Plesk te mostrará una lista de códigos de respaldo de un solo uso. Estos códigos son tu salvavidas en caso de que pierdas tu teléfono, lo cambies o la aplicación de autenticación deje de funcionar.

[WARNING] Esta es la parte más crítica de todo el proceso. No ignores este paso. Si pierdes tu teléfono y no has guardado estos códigos, podrías quedarte bloqueado fuera de tu servidor para siempre, y la única solución sería contactar con tu proveedor de hosting para un restablecimiento manual, lo cual puede ser un proceso largo y tedioso.

Te recomendamos que:

1. Imprimas una copia de estos códigos y la guardes en un lugar seguro.
2. Guarda una copia digital en un gestor de contraseñas (como LastPass, 1Password o Bitwarden).
3. Nunca los almacenes en el mismo lugar que tu teléfono.

Haz clic en Confirmar o He guardado los códigos para finalizar.

Paso 7: ¡Enhorabuena! El 2FA está activado

¡Ya lo has conseguido! Plesk te mostrará un mensaje de confirmación indicando que la autenticación de dos factores se ha activado correctamente. A partir de ahora, cada vez que inicies sesión en tu panel de Plesk, el proceso será el siguiente:

1. Introducir tu nombre de usuario y contraseña.
2. Abrir la aplicación de autenticación en tu teléfono.
3. Introducir el código de 6 dígitos que aparece en la aplicación.

¿Cómo desactivar el 2FA en Plesk si lo necesito?

Puede haber situaciones en las que necesites desactivar el 2FA temporalmente, por ejemplo, si has perdido tu teléfono y necesitas acceder con urgencia. El proceso es igual de sencillo.

1. Inicia sesión en Plesk (si puedes). Si no puedes porque has perdido el teléfono, utiliza uno de los códigos de respaldo que guardaste en el paso anterior.
2. Ve a tu Perfil y a la sección de Autenticación de dos factores.
3. Haz clic en el botón Desactivar o Deshabilitar.
4. Plesk te pedirá que introduzcas un código de verificación para confirmar la acción. Introduce el código de tu aplicación o uno de tus códigos de respaldo.
5. Haz clic en Confirmar. El 2FA quedará desactivado.

Preguntas frecuentes (FAQ) sobre el 2FA en Plesk

¿Puedo usar la misma aplicación de autenticación para varios servidores Plesk?

Sí, absolutamente. Las aplicaciones de autenticación están diseñadas para almacenar múltiples cuentas. Puedes escanear los códigos QR de todos tus servidores Plesk y de cualquier otro servicio que utilice 2FA (como Google, Facebook, etc.) en la misma aplicación. Solo tienes que asegurarte de seleccionar la cuenta correcta cuando te pidan el código.

¿Qué pasa si pierdo mi teléfono y no tengo los códigos de respaldo?

Esta es una situación delicada. Si no tienes los códigos de respaldo, la única opción es contactar con tu proveedor de hosting o con el administrador del servidor. Ellos tendrán acceso a los archivos de configuración de Plesk y podrán desactivar el 2FA manualmente desde la base de datos o mediante herramientas de línea de comandos. Ten en cuenta que este proceso puede requerir verificar tu identidad de forma rigurosa para evitar accesos no autorizados.

¿El 2FA de Plesk es compatible con todas las aplicaciones de autenticación?

Sí, Plesk utiliza el estándar abierto TOTP (Time-based One-Time Password), que es compatible con la gran mayoría de aplicaciones de autenticación del mercado. Si tu aplicación genera códigos de 6 dígitos que cambian cada 30 segundos, será compatible.

¿Puedo activar el 2FA para mis clientes de reventa en Plesk?

Sí. Si eres un proveedor de servicios de hosting que utiliza Plesk, puedes activar la política de 2FA para todos tus clientes. En lugar de hacerlo uno a uno, puedes configurar una política de seguridad a nivel de servidor en Herramientas y Configuración > Política de Seguridad que obligue a todos los usuarios a activar el 2FA en su próximo inicio de sesión. Esto es una excelente práctica de seguridad.

¿El 2FA ralentiza el proceso de inicio de sesión?

El tiempo adicional que tarda en iniciar sesión es de apenas unos segundos. El hecho de tener que abrir la aplicación en tu teléfono e introducir el código es un pequeño precio a pagar por la tranquilidad de saber que tu servidor está protegido contra accesos no autorizados.

¿Qué diferencia hay entre el 2FA de Plesk y el de otros paneles como Syspanel?

El principio es el mismo: añadir una capa extra de seguridad. La diferencia radica en la implementación y en la interfaz de configuración. En Syspanel (anteriormente conocido como HestiaCP), el proceso es muy similar y también utiliza códigos QR y aplicaciones TOTP. La principal diferencia es que el puerto de acceso para la interfaz de Syspanel suele ser el 2106, mientras que Plesk usa el puerto 8443. Ambos paneles ofrecen una seguridad robusta si configuras correctamente el 2FA.

Consejos finales para una seguridad óptima en Plesk

Activar el 2FA es un gran paso, pero no debería ser el único que tomes para proteger tu servidor. Aquí tienes una lista de buenas prácticas adicionales:

• Utiliza contraseñas robustas: Combina letras mayúsculas, minúsculas, números y símbolos. Evita usar la misma contraseña para múltiples servicios.
• Mantén Plesk actualizado: Las actualizaciones incluyen parches de seguridad críticos. Activa las actualizaciones automáticas si es posible.
• Cambia el puerto SSH por defecto: Si bien no es una solución definitiva, cambiar el puerto 22 por defecto puede reducir significativamente los ataques automatizados.
• Configura un cortafuegos (Firewall): Limita el acceso a los puertos de administración (8443, 2106, etc.) solo a direcciones IP de confianza.
• Realiza copias de seguridad periódicas: Asegúrate de tener copias de seguridad de tus sitios web y de la configuración de Plesk en un lugar seguro, preferiblemente fuera del servidor.

[TIP] Si gestionas varios servidores o colaboras con un equipo, considera la posibilidad de utilizar un gestor de contraseñas que integre el 2FA. De esta manera, puedes compartir el acceso de forma segura y tener todos los códigos de respaldo centralizados.

En resumen, la activación de la autenticación de dos factores en Plesk es un proceso rápido, gratuito y extremadamente eficaz para proteger tu activo más valioso: tus datos. No esperes a ser víctima de un ataque para tomar medidas. Activa el 2FA hoy mismo y navega con la tranquilidad de saber que tu servidor está blindado.