Admin prihlásenie bez druhého faktora je dnes to isté, ako nechať kľúče v zámke.
A pritom Joomla má dvojfaktorové overenie (2FA) priamo v jadre - netreba naň žiadny doplnok. Problém je inde: väčšina webov, ktoré som počas rokov preberal po niekom inom, mala 2FA buď úplne vypnuté, alebo zapnuté len pre seba a nie pre redaktorov a klientov. A presne tam to zvyčajne praskne - nie cez dieru v jadre, ale cez účet, ktorého heslo niekto uhádol alebo našiel v uniknutej databáze.
Čo Joomla v jadre naozaj ponúka
2FA je súčasťou jadra Joomly a nájdete ju v nastaveniach používateľa. Konkrétnu verziu a dostupné možnosti si pred zásahom overte v administrácii v Systém → Aktualizácie a v dokumentácii k vašej verzii Joomly. K dispozícii sú metódy ako:
- Overovací kód (TOTP) cez aplikáciu ako Google Authenticator, Authy alebo Aegis - najčastejšia a najrozšírenejšia voľba.
- Jednorazové záložné kódy - vygenerujú sa raz a slúžia na vstup, keď stratíte telefón.
Fyzický bezpečnostný kľúč je vo všeobecnosti lepšia voľba než SMS či e-mail, pretože tie sa dajú presmerovať alebo obísť. Akú podporu hardvérových kľúčov (WebAuthn) má vaša verzia Joomly, si overte v dokumentácii; pri doplnkoch tretích strán platí to, čo pri každom doplnku: overte si, či projekt žije a či má vydanie pre vašu verziu Joomly.
Nastavenie pre seba: prvý účet, ktorý zamknete
- Prihláste sa do administrácie a otvorte Používatelia → Spravovať → svoj účet.
- Prejdite na záložku Dvojfaktorové overenie.
- Vyberte metódu (odporúčam TOTP), kliknite na Nastaviť a naskenujte QR kód do autentifikačnej aplikácie.
- Uložte si záložné kódy - vytlačte ich alebo uložte do správcu hesiel. Bez nich sa pri strate telefónu do administrácie nedostanete inak než cez databázu.
- Potvrďte kódom z aplikácie a uložte.
Pred týmto krokom si urobte zálohu databázy aj súborov. Ak sa pri nastavovaní pomýlite a uzamknete sa, obnova zálohy je najrýchlejšia cesta späť. Druhá možnosť je vypnutie 2FA priamo v databáze v tabuľke #__users (stĺpce s nastavením 2FA) - ale to je zásah do živých dát, ktorý si bez zálohy netrúfam robiť ani u seba.
Ako to vynútiť redaktorom a klientom
Ručné nastavenie po jednom je otrava a na väčšom webe sa naň aj tak zabudne. Joomla má preto doplnok User - Two Factor Authentication, cez ktorý sa 2FA vynucuje. Praktický postup:
- Nastavte vynútenie 2FA pre príslušné skupiny používateľov v nastaveniach tohto doplnku.
- Nastavte to najprv na sebe a na testovacom účte, až potom na klientoch. Ak sa niečo pokazí, chcete to zistiť na svojom účte, nie na účte konateľa v piatok o piatej.
- Po zapnutí vynútenia sa používateľ pri ďalšom prihlásení dostane na obrazovku nastavenia 2FA - ak ju neabsolvuje, ďalej sa nedostane.
Toto je miesto, kde sa najčastejšie zasekne prevádzka: klient má starý telefón, nemá aplikáciu, nechce si ju inštalovať. Počítajte s tým a pripravte si pre používateľov krátky návod - ideálne jednostranový, s QR kódom a vysvetlením, čo robiť, keď telefón vymenia. Bez toho vám bude 2FA obchádzať polovica redakcie cez zdieľaný účet, a to je horšie než žiadne 2FA.
Frontend: prihlásenie členov a zákazníkov
Na frontende 2FA nefunguje automaticky - musíte ju povoliť v nastaveniach doplnku Dvojfaktorové overenie (Systém → Spravovať → Doplnky). Pri štandardnom prihlásení člena Joomly sa po zadaní hesla zobrazí pole na overovací kód.
Pozor na dve veci:
- Ak máte prihlásenie riešené doplnkom tretích strán (komunitný portál, e-shop, členská zóna), overte si, či tento doplnok 2FA z jadra rešpektuje. Niektoré ho obchádzajú vlastným prihlasovacím formulárom a 2FA sa tak vôbec neuplatní. Toto si pred nasadením otestujte na stagingu - nie na živom webe.
- Zálohu pred zmenou nastavení prihlasovania robte vždy. Ak sa prihlasovanie rozbije, zákazníci sa nedostanú do svojich účtov a vy to zistíte z telefonátov.
Kde je hranica a čo sa neoplatí
2FA v jadre je zadarmo a pokrýva bežné potreby. Platené rozšírenia zvažujte až vtedy, keď potrebujete hardvérové kľúče pre celý tím, centrálnu správu politík alebo audit prihlásení pre compliance. Pre bežný firemný web či komunitný portál je jadrová 2FA viac než dosť.
A jedna vec, ktorú 2FA nerieši: ak niekto získa prístup k vášmu serveru cez FTP alebo cez hostingový panel, administrácia Joomly ho nezaujíma. Preto 2FA v administrácii Joomly nestačí - zapnite ju aj v hostingovom paneli a vo svojom e-mailovom účte. Mnohí poskytovatelia hostingu dnes 2FA do zákazníckej administrácie ponúkajú; je to nastavenie na pár minút a zavrie presne tú dieru, cez ktorú sa weby reálne strácajú.
Čo si vybrať
Ak riešite len svoj web: TOTP cez autentifikačnú aplikáciu plus uložené záložné kódy. Ak spravujete weby pre klientov: TOTP pre všetkých s prístupom do administrácie, vynútené cez skupiny, s jednostranovým návodom pre používateľov. Hardvérové kľúče a platené doplnky nechajte na prípad, keď to niekto výslovne požaduje.
Pavlov servisný tip: Záložné kódy si po vygenerovaní uložte aj do správcu hesiel pod položku samotného webu - nie na plochu počítača. Keď o rok vymeníte telefón a budete potrebovať vstup do administrácie, budete presne vedieť, kde ich hľadať, a ušetríte si hodinu hľadania v záložkách a e-mailoch.
Zdroje
- Denník N - Heslá, správcovia hesiel, dvojfaktorové overenie, dennikn.sk (citované 9. 11. 2026)
- Môj CMS - Joomla vs WordPress: ktorý CMS je vhodnejší pre váš web?, mojcms.sk (citované 9. 11. 2026)
- FORPSI - VPS Hosting, forpsi.sk (citované 9. 11. 2026)
- Hostingy.net - Websupport recenzia 2026: hosting, ceny a skúsenosti, hostingy.net (citované 9. 11. 2026)
