Les mots de passe faibles peuvent facilement être compromis par une attaque par force brute. Les mots de passe forts sont plus sûrs, mais ils ne sont toujours pas infaillibles.

Pour améliorer la sécurité de votre compte Plesk, nous vous recommandons d’utiliser l’authentification multifacteur (MFA) afin de vous connecter à Plesk. Les mots de passe constituent la première couche de sécurité. L’authentification multifacteur en ajoute une deuxième à votre processus d’authentification Plesk. À l’heure actuelle, la deuxième couche de sécurité est représentée par les mots de passe à usage unique générés par une application MFA sur votre smartphone. Ces mots de passe à usage unique sont également appelés codes de vérification. C’est ce terme que nous utiliserons.

Pour configurer la connexion à Plesk avec des codes de vérification :

  1. Installez une application MFA sur votre smartphone (par exemple : Google Authenticator, Microsoft Authenticator ou toute autre application MFA de votre choix).

  2. Allez sous Mon profil. Faites défiler jusqu’à la section « Authentification multifacteur (MFA) », puis cliquez sur le lien ci-dessous.

    Note: L’extension Multi-Factor Authentication (MFA) est installée par défaut dans Plesk. Si pour une raison quelconque ce n’est pas le cas, installez l’extension manuellement.

  3. Cochez la case « Activer l’authentification multifacteur ».

  4. Avec votre smartphone, scannez le QR code qui s’affiche.

    Sur votre smartphone, dans votre application d’authentification, vous verrez alors le nom d’hôte de votre serveur Plesk. L’application Google Authenticator affiche un code de vérification à 6 chiffres sous le nom d’hôte. Avec d’autres applications MFA, vous devrez peut-être cliquer sur le nom d’hôte pour voir le code.

  5. Saisissez le code de vérification.

  6. Si vous ne souhaitez pas saisir de code de vérification à chaque fois que vous vous connectez à Plesk, cochez la case « Activer la fonctionnalité Se souvenir de l’appareil ».

    Avertissement: Activez la fonctionnalité « Se souvenir de l’appareil » uniquement sur votre appareil personnel. Dans le cas contraire, un tiers pourrait accéder à votre compte Plesk.

  7. Si vous avez activé la fonctionnalité « Se souvenir de l’appareil », vous ne serez pas obligé de fournir un code de vérification lors de la connexion à Plesk sur cet appareil pendant le nombre de jours spécifié. Une fois cette période écoulée ou après avoir vidé le cache du navigateur, vous devrez saisir à nouveau un code de vérification.

  8. Si vous avez activé la fonctionnalité « Se souvenir de l’appareil », le navigateur se souviendra de votre appareil pendant le nombre de jours spécifié. Cependant, lorsque vous vous connectez à Plesk à partir d’un autre appareil, vous devez saisir un code de vérification. Vous verrez également la case à cocher « Se souvenir de cet appareil pendant n jours ». « n » correspond au nombre de jours que vous avez spécifié à l’étape précédente.

    image mfa preselect

    Pour que cette case à cocher soit sélectionnée par défaut à chaque fois que vous vous connectez à Plesk à partir d’un nouvel appareil, cochez la case « Présélectionner la case à cocher Se souvenir de l’appareil ».

    image mfa setup

  9. Cliquez sur OK.

Vous avez configuré l’authentification multifacteur dans Plesk. Pour vous connecter à Plesk, vous devrez désormais saisir un code de vérification de votre application MFA.

image mfa authentication

Enforcing MFA Usage

Plesk implements MFA with the help of the Multi-Factor Authentication (MFA) extension, which is installed by default as a part of the recommended preset. If the extension is installed, the owner of any Plesk account can set up MFA for their account.

To enhance security, you may want to enforce MFA usage for all Plesk accounts, with or without the possibility to bypass it. In the latter case, logging in to Plesk without setting up MFA will no longer be possible.

Note: There is no way to enforce MFA for some accounts or account types, but not for others. Following the instructions below will enforce MFA for all accounts, including your administrator account.

To enforce MFA usage:

  1. Configurez la connexion à Plesk avec des codes de vérification en suivant la procédure ci-dessus.

  2. Ouvrez le fichier panel.ini pour le modifier. Ce fichier est disponible ici :

    • (Plesk pour Linux) /usr/local/psa/admin/conf/panel.ini
    • (Plesk pour Windows) %plesk_dir%admin\conf\panel.ini

    Vous pouvez également modifier le fichier depuis l’interface de Plesk à l’aide de l’extension Panel.ini Editor.

  3. Selon le scénario souhaité, ajoutez les lignes suivantes au fichier panel.ini, puis enregistrez-le :

    • To enforce MFA without the possibility to bypass it:

      [ext-mfa]
enforce = true
allowSkipEnforce = false

      Whenever there’s a login under a Plesk account without MFA set up, the user will see the following message. They will not be able to continue using Plesk until they set up MFA.

      image mfa enforce 1

    • To enforce MFA with the possibility to bypass it:

      [ext-mfa]
enforce = true
allowSkipEnforce = true

      Whenever there’s a login under a Plesk account without MFA set up, the user will see the following message. Unlike the previous case, they can skip MFA setup and continue using Plesk. However, they will see this message with each Plesk login until they set up MFA.

      image mfa enforce 2

  4. (Optional) Once you have enforced MFA usage, users will see either of the two messages (shown on the screenshots above) with the link to the following KB article. The article explains how MFA works and enhances security.

    Vous souhaiterez peut-être inclure une autre source d’informations sur l’authentification multifacteur. Pour cela, ajoutez des lignes du modèle suivant au fichier panel.ini, puis enregistrez-le :

    [ext-mfa]
learnMoreUrl = https://example.com ; the URL of the web page you want to feature