Otvoríte si administráciu, prihlásite sa heslom, ktoré máte od roku 2019, a vedľa mena Super User svieti prázdny stĺpec „Viacfaktorové overenie“.
Presne tam sa láme väčšina incidentov - nie na firewalle, nie na WAF, ale na tom, že jeden ukradnutý alebo uhádnutý prihlasovací účet znamená plnú kontrolu nad webom. Účet Super User má mimoriadne rozsiahle možnosti - správa používateľov, skupín, úrovní prístupu a oprávnení. Ak ho útočník získa, nemusí už nič obchádzať.
Tento text nie je o tom, čo je MFA. Je o tom, ako ho nasadiť tak, aby ste sa nezamkli mimo vlastnej administrácie, a čo si k tomu prizvať z prostredia šablón a doplnkov.
Viacfaktorové overenie v jadre - a prečo ho neodkladať
Joomla má MFA priamo v jadre, nepotrebujete na to žiadny externý komponent. Medzi podporované metódy patrí overovací kód (autentifikačná aplikácia), YubiKey, Web Authentication (WebAuthn), overenie e-mailom a pevný kód. Pre bežného správcu je autentifikačná aplikácia plus silné heslo dobrý kompromis medzi pohodlím a bezpečnosťou.
Dôležitá vec, ktorú si overte predtým, než čokoľvek zapnete: v minulosti bola opravená XSS zraniteľnosť v zobrazeniach správy MFA. Ak prevádzkujete niektorú z dotknutých verzií, najprv aktualizujte jadro, až potom nastavujte MFA. Inak si bezpečnostné nastavenie otvárate cez dieru, ktorú má zavrieť.
Ako zapnúť MFA bez toho, aby ste sa zamkli vonku
Postupujte v tomto poradí a nič nepreskakujte:
- Záloha pred zásahom. Kompletná záloha súborov aj databázy, a overte, že sa vie naimportovať. Bez toho sa nevracajte späť - pri zásahu do prihlasovania je návratová cesta povinná.
- Aktualizujte jadro na najnovšiu bezpečnostnú verziu vašej vetvy.
- Otestujte MFA na jednom účte, ideálne na svojom, a to na stagingu alebo mimo špičky. Test je dôležitý práve predtým, než MFA aktivujete na všetkých administrátorských účtoch.
- Nastavte metódu - autentifikačná aplikácia ako základ, hardvérový kľúč tam, kde na webe visí niečo citlivé.
- Až potom rozšírte na ostatné administrátorské účty.
Pasca, ktorú vidím najčastejšie: správca zapne MFA, stratí telefón a nemá záložný kód ani druhý spôsob prihlásenia. Preto si pri každom účte uložte aspoň jednu záložnú metódu - pevný kód alebo druhý hardvérový kľúč, ktorý nedržíte v tom istom vrecku.
Čo s doplnkami, ktoré obchádzajú prihlásenie
Toto je rovina, ktorá sa v bežných checklistoch stráca. Ak máte na webe doplnok, ktorý vytvára vlastnú prihlasovaciu cestu - vlastný login modul, vlastný formulár, „rýchle prihlásenie“ z externého systému - MFA sa ho nemusí týkať. Overte pri každom takomto rozšírení, či rešpektuje jadrové prihlásenie, alebo si stavia vlastné.
Rovnako pri doplnkoch pre správu používateľov a ACL: čím viac ich je, tým viac ciest do administrácie. Ak niektorý nevidíte aktualizovaný a v changelogu nemá zmienku o bezpečnostných verziách jadra, je to signál, nie detail na neskôr.
E-mailové overenie a kde je jeho hranica
Overenie e-mailom je pohodlné, ale jeho bezpečnosť závisí od zabezpečenia samotného e-mailového účtu. Ak je schránka správcu prístupná cez to isté slabé heslo, presunuli ste len miesto, kde sa láme. Pre weby, kde ide o peniaze alebo osobné údaje, siahnite po autentifikačnej aplikácii alebo hardvérovom kľúči.
Čo si z tohto odniesť
Ideálny model je: silné jedinečné heslo + MFA + aktuálna Joomla + aktuálne rozšírenia + správne ACL + pravidelné zálohy + kontrola administrátorských účtov. Ak na svojom účte Super User MFA ešte nemáte, jeho aktivácia patrí medzi najjednoduchšie opatrenia, ktoré môžete spraviť. A platí aj opak: ani správne nastavené MFA nie je dôvod nechať Joomlu bez aktualizácií.
Pavlov servisný tip: Pri každom účte Super User si zapíšte, ktorou metódou sa prihlasuje a kde je záložný kód - do poznámky v správcovi hesiel, nie na papier v šuplíku. Keď o pol roka odovzdávate web klientovi alebo kolegovi, prvá vec, ktorú budete riešiť, je „ako sa tam dostanem“ - a bez tejto poznámky to znamená obnovu zo zálohy.
Zdroje
- Môj CMS - Viacfaktorové overovanie v Joomla: prečo ho zapnúť a ako ho správne používať, mojcms.sk (citované 16. 10. 2026)
