Preguntas frecuentes sobre autenticación de dos factores en Plesk

¿Qué es la autenticación de dos factores (2FA) y por qué deberías usarla en Plesk?

La autenticación de dos factores, también conocida como 2FA, es una capa extra de seguridad que se añade a tu contraseña habitual. En lugar de solo pedirte algo que sabes (tu contraseña), te pide también algo que tienes (un código temporal generado por una app en tu móvil). Es como tener una doble cerradura en la puerta de tu panel de control.

Si alguien logra robar tu contraseña, sin el código del segundo factor no podrá acceder a tu cuenta. Esto es especialmente importante en Plesk, donde gestionas sitios web, bases de datos y correos electrónicos. Una cuenta comprometida puede causar desde la caída de tu web hasta el robo de datos sensibles.

[INFO] La autenticación de dos factores reduce el riesgo de acceso no autorizado en más del 99.9%. Es la medida más efectiva que puedes implementar hoy mismo.

---

Preguntas frecuentes sobre 2FA en Plesk

¿Cómo activo la autenticación de dos factores en mi cuenta de Plesk?

Activar la 2FA en Plesk es un proceso sencillo que no te llevará más de cinco minutos. Sigue estos pasos:

1. Inicia sesión en Plesk con tu usuario y contraseña habituales.
2. Ve a tu nombre de usuario en la esquina superior derecha y haz clic en "Perfil" o "Mi perfil".
3. Busca la sección "Autenticación de dos factores" o "2FA".
4. Haz clic en "Activar" o "Configurar".
5. Escanea el código QR que aparece en pantalla con una aplicación de autenticación como Google Authenticator, Authy o Microsoft Authenticator.
6. Introduce el código de seis dígitos que te muestra la app para verificar la configuración.
7. ¡Listo! A partir de ahora, cada vez que inicies sesión, te pedirá tu contraseña y luego un código de la app.

[TIP] Guarda los códigos de respaldo que Plesk te muestra durante la configuración. Si pierdes tu móvil, estos códigos serán tu única forma de recuperar el acceso.

¿Qué aplicaciones puedo usar para generar los códigos 2FA?

Puedes usar cualquier aplicación compatible con el estándar TOTP (Time-based One-Time Password). Las más populares y recomendadas son:

• Google Authenticator (Android e iOS)
• Authy (multidispositivo, con copia de seguridad en la nube)
• Microsoft Authenticator (Android e iOS)
• LastPass Authenticator (si ya usas LastPass)
• 1Password (si gestionas contraseñas con él)

Todas funcionan de manera similar: escaneas un código QR y la app genera códigos de seis dígitos que cambian cada 30 segundos.

[WARNING] No uses capturas de pantalla del código QR para compartirlo. El QR contiene la clave secreta y cualquiera que lo vea podría generar códigos válidos.

¿Qué hago si pierdo mi teléfono o la aplicación de autenticación?

No entres en pánico. Si has guardado los códigos de respaldo que Plesk te mostró al activar la 2FA, puedes usarlos para iniciar sesión. Cada código solo puede usarse una vez.

Si no guardaste los códigos de respaldo, tendrás que contactar al administrador de tu servidor Plesk o al soporte técnico de tu proveedor de hosting. Ellos pueden desactivar temporalmente la 2FA desde el panel de administración para que puedas configurarla de nuevo.

Para evitar este problema, sigue estas buenas prácticas:

• Guarda los códigos de respaldo en un lugar seguro (no en tu móvil). Por ejemplo, en una caja fuerte física o en un gestor de contraseñas.
• Configura la 2FA en más de un dispositivo si la aplicación lo permite (Authy, por ejemplo, sincroniza entre varios teléfonos).

¿La 2FA afecta al rendimiento de mi sitio web o al acceso de mis usuarios?

No, la autenticación de dos factores solo afecta al inicio de sesión en el panel de control de Plesk. Tus visitantes no notarán ningún cambio. Ellos siguen accediendo a tu web con normalidad, sin necesidad de códigos adicionales.

La 2FA protege tu cuenta de administrador, no el front-end de tu sitio. Tus usuarios no tienen que instalar nada ni aprender nuevos procesos.

[INFO] La 2FA en Plesk es completamente transparente para el funcionamiento de tu web. Solo tú, como administrador, notas la diferencia al iniciar sesión.

¿Puedo usar la misma aplicación 2FA para varias cuentas de Plesk?

Sí, absolutamente. Las aplicaciones de autenticación como Google Authenticator o Authy pueden almacenar decenas de cuentas diferentes. Cada cuenta de Plesk que configures aparecerá como una entrada separada en la app, con su propio código de seis dígitos.

Cuando inicies sesión en una cuenta concreta, solo tienes que abrir la app y seleccionar la entrada correspondiente. El código que se genera es único para esa cuenta en ese momento.

¿Qué pasa si alguien intenta acceder a mi cuenta sin el código 2FA?

Si un atacante tiene tu contraseña pero no el código de la app, no podrá completar el inicio de sesión. Plesk simplemente rechazará el acceso y mostrará un mensaje de error. Dependiendo de la configuración de tu servidor, puede que se registre un intento fallido en los logs de seguridad.

Algunos proveedores de hosting envían un correo electrónico de alerta cuando detectan múltiples intentos fallidos de inicio de sesión. Esto te permite actuar rápidamente cambiando tu contraseña.

[WARNING] Si recibes varios correos de intentos fallidos, cambia tu contraseña inmediatamente. Puede que alguien esté intentando forzar el acceso a tu cuenta.

¿La 2FA funciona con el acceso por FTP o SSH?

No, la autenticación de dos factores en Plesk solo protege el acceso al panel web. Los accesos por FTP, SFTP, SSH o bases de datos remotas no se ven afectados. Para estos servicios, sigue siendo fundamental usar contraseñas seguras y, si es posible, autenticación por clave SSH.

Si tu proveedor de hosting ofrece protección adicional para FTP (como IP whitelist o 2FA en el panel de control de FTP), actívala también.

¿Puedo desactivar la 2FA temporalmente si tengo problemas?

Sí, puedes desactivarla desde tu perfil en Plesk siempre que puedas iniciar sesión. Ve a Perfil > Autenticación de dos factores y haz clic en "Desactivar". Te pedirá tu contraseña actual para confirmar.

Si no puedes iniciar sesión porque perdiste el acceso a la 2FA, necesitarás la ayuda de un administrador. Como mencionamos antes, los códigos de respaldo son tu salvavidas.

[TIP] Si sabes que vas a cambiar de móvil, desactiva la 2FA primero desde tu perfil y luego actívala de nuevo en el nuevo dispositivo. Así evitas quedar bloqueado.

¿La 2FA en Plesk es obligatoria?

Depende de tu proveedor de hosting o de las políticas de seguridad de tu organización. Algunos hosts exigen la 2FA para cuentas con permisos de administrador, especialmente si gestionan múltiples sitios web o datos sensibles.

Aunque no sea obligatoria, es altamente recomendable activarla. El riesgo de que tu cuenta sea comprometida es real, y la 2FA es la barrera más eficaz que puedes poner.

¿Puedo configurar la 2FA para otros usuarios de mi cuenta de Plesk (por ejemplo, clientes)?

Sí, como administrador puedes habilitar la 2FA para todos los usuarios de tu servidor Plesk. Ve a Herramientas y configuración > Seguridad > Autenticación de dos factores y activa la opción para que los usuarios puedan configurarla en sus perfiles.

También puedes forzar su uso para ciertos roles o para todos los usuarios. Esto es útil si gestionas un hosting compartido y quieres proteger las cuentas de tus clientes.

[INFO] Forzar la 2FA reduce drásticamente las posibilidades de que un atacante acceda a cuentas de clientes y use sus sitios para distribuir malware o spam.

¿Qué hago si la aplicación de autenticación me pide un código pero no sé cuál es?

Asegúrate de que la hora de tu móvil esté sincronizada automáticamente. Las aplicaciones TOTP dependen de la hora exacta. Si tu reloj está desajustado, los códigos no coincidirán con los que espera Plesk.

En Android e iOS, ve a Ajustes > Fecha y hora y activa la opción "Fecha y hora automáticas". Luego cierra y vuelve a abrir la app de autenticación.

Si el problema persiste, prueba a eliminar la cuenta de Plesk de la app y volver a escanear el código QR (necesitarás desactivar y reactivar la 2FA en tu perfil).

¿La 2FA me protegerá de ataques de phishing?

La 2FA añade una capa extra, pero no es infalible. Si un atacante te engaña para que introduzcas tu contraseña y el código 2FA en un sitio falso (phishing), puede usar ese código inmediatamente para acceder a tu cuenta real. Por eso es importante:

• No introducir nunca tu código 2FA en sitios que no sean el panel oficial de Plesk.
• Verificar siempre la URL antes de iniciar sesión (debe ser https://tudominio.com:8443 o la que te haya dado tu proveedor).
• Usar un gestor de contraseñas que solo autocomplete en sitios legítimos.

La 2FA es una herramienta poderosa, pero la mejor defensa sigue siendo la precaución y el sentido común.

[WARNING] Ninguna tecnología reemplaza la vigilancia humana. Si algo parece sospechoso, no introduzcas tus datos.

Conclusión: la 2FA es tu mejor aliada para proteger tu cuenta de Plesk

La autenticación de dos factores es una medida de seguridad sencilla, gratuita y extremadamente eficaz. En un mundo donde los ciberataques son cada vez más comunes, añadir esta capa extra puede marcar la diferencia entre mantener tu sitio seguro o sufrir una intrusión.

No esperes a que sea demasiado tarde. Activa la 2FA en tu Plesk hoy mismo y duerme tranquilo sabiendo que tu cuenta está protegida, incluso si tu contraseña se ve comprometida.

Recuerda: la seguridad no es un producto, es un hábito. La 2FA es uno de los mejores hábitos que puedes adoptar.

[TIP] Si gestionas varios servidores, considera usar un gestor de contraseñas que también gestione los códigos 2FA (como 1Password o Bitwarden). Así centralizas todo y no dependes de un solo dispositivo móvil.