Comment configurer l'authentification à deux facteurs sur ISPConfig

Procédure

Qu'est-ce que l'authentification à deux facteurs ?

L'authentification à deux facteurs vous permet de sécuriser l'accès à un compte quelconque avec un deuxième barrière autre que le mot de passe. Ceci permet, entre autres, d'empêcher les personnes malveillantes d'accéder à votre espace personnel, même s'ils ont malencontreusement été en possession de votre mot de passe.

Sur ISPConfig, la méthode d'authentification à deux facteurs disponible est celle de l'OTP (One-Time Password) par envoi email. Le code OTP est un petit mot de passe supplémentaire, généré après confirmation de votre mot de passe principal, envoyé à votre boîte email. L'authentification à votre interface ISPConfig nécessitera alors à la fois le mot de passe d'accès et l'accès à votre boîte email pour récupérer le code OTP.

Configurer l'authentification à deux facteurs par OTP email sur ISPConfig

Pour activer l'authentification à deux facteurs par code OTP envoyé par email, il vous est nécessaire avant tout de configurer l'envoi d'email système sur ISPConfig. L'envoi d'email système est le mécanisme interne d'ISPConfig pour envoyer des emails.

Depuis votre interface ISPConfig, cliquez sur Système > Main config (dans la section Interface) > onglet E-mail :

Il sera alors nécessaire de configurer l'envoi email système comme suit :

• Email de l'administrateur : ce sera la boîte email expéditrice utilisée par ISPConfig. Ce sera également la boîte email destinataire pour les comptes administrateurs. Pour garantir la bonne transmission des emails, la meilleure solution est d'utiliser une boîte email déjà présente sur le serveur VPS. Vous ne pouvez pas utiliser une boîte Gmail / Yahoo / ... sur ce champ car l'adresse IP de votre serveur VPS n'est pas autorisé par le SPF de ces fournisseurs emails.
• Nom des administrateurs : ce sera le nom indiqué dans l'en-tête FROM de l'email. Vous pouvez mettre ce que vous voulez.
• Use SMTP to send system mails : cochez afin que ISPConfig confie l'envoi de l'email à un serveur SMTP (le cas échéant, ce sera transmis par le biais de la fonction PHP mail())
• SMTP host : le serveur SMTP qui se chargera d'expédier les emails. Mettez "localhost" afin que ISPConfig utilise le service SMTP sur votre VPS pour faire l'envoi.
• SMTP port : le port SMTP du serveur qui se chargera d'expédier les emails. Mettez "25" pour que cela se connecte au port SMTP 25 de votre VPS.
• Laissez SMTP user et SMTP password vide. Le service SMTP de votre VPS n'exigera pas une authentification depuis le port 25 en étant connecté localement.

Une fois les modifications faites, cliquez sur "Save" pour enregistrer.

Activer l'authentification à deux facteurs sur un utilisateur ISPConfig

Pour activer l'authentification à deux facteurs sur un utilisateur, connectez-vous au compte d'utilisateur concerné et rendez-vous dans Outils puis Paramètres Utilisateur, et sélectionnez "email" dans le champ "Two Factor Authentication" :

Remarque :

• Si l'utilisateur est un compte administrateur, l'email d'authentification sera envoyé à l'email administrateur configuré dans Système > Main config > E-mails.
• Si l'utilisateur est un compte client, l'email d'authentification sera envoyé à l'email du compte client configuré dans Client > Editer un client.

Comment désactiver l'authentification à deux facteurs

Si vous n'avez plus accès à votre compte ISPConfig mais que vous souhaitez désactiver l'authentification à deux facteurs de ce compte, rendez-vous dans votre interface phpMyAdmin depuis l'URL https://vpsXXXXX.serveur-vps.net:8080/phpmyadmin/ et connectez-vous à l'utilisateur "root" (le mot de passe root MySQL est disponible sur l'email de livraison de votre serveur VPS).

Depuis la base de données dbispconfig, cliquez sur SQL et exécutez la requête SQL suivante :

UPDATE sys_user SET otp_type = 'none' WHERE username = 'admin';

(remplacez admin par un autre nom d'utilisateur si vous souhaitez désactiver pour un autre utilisateur)

Cliquez ensuite sur Exécuter. Et voilà, l'authentification à deux facteurs et désactivé pour cet utilisateur.