弱いパスワードは、 ブルートフォース攻撃 によって簡単に破られる可能性があります。強力なパスワードはより安全ですが、それでも絶対確実ではありません。

Plesk アカウントのセキュリティを強化するために、Plesk にログインする際に 多要素認証 (MFA) を使用することをお勧めします。パスワードはセキュリティの第 1 層ですが、MFA は Plesk 認証プロセスに第 2 層を追加します。現在、第 2 層のセキュリティは、スマートフォンの MFA アプリによって生成される ワンタイムパスワード で実現します。これらのワンタイムパスワードは検証コードとも呼ばれ、以降はこの用語を使用します。

検証コードによる Plesk へのログインをセットアップするには:

  1. スマートフォンに MFA アプリをインストールします (例: Google Authenticator、Microsoft Authenticator やその他の任意の MFA アプリ)。

  2. [マイ・プロファイル] に移動し、[多要素認証 (MFA)] セクションまで下にスクロールして、下のリンクをクリックします。

    注釈: 多要素認証 (MFA) 拡張は、デフォルトで Plesk にインストールされています。何らかの理由でインストールされていない場合は、 拡張を手動でインストール してください。

  3. [多要素認証を有効にする] チェックボックスをオンにします。

  4. 表示される QR コードをスマートフォンでスキャンします。

    スマートフォンの認証アプリに、Plesk サーバのホスト名が表示されます。Google Authenticator アプリでは、ホスト名の下に 6 桁の検証コードが表示されます。他の MFA アプリでは、ホスト名をクリックするとコードが表示される場合があります。

  5. 検証コードを入力します。

  6. Plesk にログインするたびに検証コードを入力したくない場合は、[「デバイスを記憶する」機能を有効にする] チェックボックスをオンにします。

    警告: 「デバイスを記憶する」機能は、個人のデバイスでのみ有効にしてください。それ以外のデバイスでは、第三者が Plesk アカウントにアクセスできるようになります。

  7. 「デバイスを記憶する」機能を有効にすると、指定した日数の間、このデバイスで Plesk にログインするときに検証コードの入力が求められなくなります。この期間が経過するか、ブラウザのキャッシュがクリアされた後で、検証コードを再度入力する必要があります。

  8. 「デバイスを記憶する」機能を有効にした場合、ブラウザは指定された日数の間デバイスを記憶します。ただし、別のデバイスから Plesk にログインする際には検証コードの入力を求められます。また、「このデバイスを n 日間記憶する」チェックボックスも表示されます。ここで、n は前の手順で指定した日数です。

    image mfa preselect

    新しいデバイスから Plesk にログインするたびにこのチェックボックスがデフォルトでオンになるようにするには、[「デバイスを記憶する」チェックボックスを事前に選択する] チェックボックスをオンにします。

    image mfa setup

  9. ［OK］をクリックします。

Plesk で MFA を設定しました。Plesk にログインする際に、MFA アプリの検証コードを入力するよう求められます。

image mfa authentication

Enforcing MFA Usage

Plesk implements MFA with the help of the Multi-Factor Authentication (MFA) extension, which is installed by default as a part of the recommended preset. If the extension is installed, the owner of any Plesk account can set up MFA for their account.

To enhance security, you may want to enforce MFA usage for all Plesk accounts, with or without the possibility to bypass it. In the latter case, logging in to Plesk without setting up MFA will no longer be possible.

注釈: There is no way to enforce MFA for some accounts or account types, but not for others. Following the instructions below will enforce MFA for all accounts, including your administrator account.

To enforce MFA usage:

  1. 上記の手順に従って、検証コードを使用して Plesk にログインするように設定します。

  2. panel.ini ファイルを編集用に開きます。ファイルは以下の場所にあります。

    • (Plesk for Linux) /usr/local/psa/admin/conf/panel.ini
    • (Plesk for Windows) %plesk_dir%admin\conf\panel.ini

    Panel.ini Editor 拡張を使用すると、Plesk インターフェースでもファイルを編集できます。

  3. 希望するシナリオに応じて、次の行を panel.ini ファイルに追加して保存します。

    • To enforce MFA without the possibility to bypass it:

      [ext-mfa]
enforce = true
allowSkipEnforce = false

      Whenever there's a login under a Plesk account without MFA set up, the user will see the following message. They will not be able to continue using Plesk until they set up MFA.

      image mfa enforce 1

    • To enforce MFA with the possibility to bypass it:

      [ext-mfa]
enforce = true
allowSkipEnforce = true

      Whenever there's a login under a Plesk account without MFA set up, the user will see the following message. Unlike the previous case, they can skip MFA setup and continue using Plesk. However, they will see this message with each Plesk login until they set up MFA.

      image mfa enforce 2

  4. (Optional) Once you have enforced MFA usage, users will see either of the two messages (shown on the screenshots above) with the link to the following KB article. The article explains how MFA works and enhances security.

    MFA に関する別の情報源を追加することもできます。それには、panel.ini ファイルに次のパターンの行を追加して保存します。

    [ext-mfa]
learnMoreUrl = https://example.com ; the URL of the web page you want to feature