Implementar autenticação de dois fatores (2FA) no cPanel é o processo de ativar um segundo fator de verificação, gerado por um gerador TOTP compatível, além da senha de login no painel. Para ativar essa camada extra e fortalecer a segurança do servidor Linux, siga estes passos:
- Acesse o cPanel com seu usuário e senha atuais
- Abra a seção Security e localize Two-Factor Authentication
- Instale um gerador TOTP compatível (aplicativo no celular, desktop ou gerenciador de senhas)
- Escaneie o QR Code exibido pelo cPanel
- Digite o código de 6 dígitos gerado para confirmar
Pré-requisitos
- Acesso ao cPanel com usuário válido e senha atual funcionando
- cPanel 130 ou superior instalado no servidor (consulte a versão no WHM ou acesse WHM > cPanel > Upgrade to Latest Version)
- Um gerador TOTP compatível instalado: aplicativo no celular (Google Authenticator, Authy), aplicativo de desktop ou gerenciador de senhas com suporte a TOTP
- Acesso root ao WHM, caso precise gerenciar o 2FA dos usuários no servidor
- Relógio do dispositivo gerador de código sincronizado automaticamente com a hora da rede
Como ativar a autenticação de dois fatores no cPanel
A autenticação de dois fatores no cPanel usa o padrão TOTP (Time-based One-Time Password), que gera códigos temporários válidos por 30 segundos. Esse mecanismo evita que uma senha vazada seja suficiente para um invasor entrar no painel. Para habilitar, faça login no cPanel com suas credenciais normais e navegue até a seção Security do menu lateral.
- Clique em Two-Factor Authentication dentro de Security
- Clique no botão Set Up Two-Factor Authentication
- Abra o gerador TOTP e escaneie o QR Code exibido na tela — ou insira manualmente o segredo exibido ao lado do QR Code
- Digite o código de 6 dígitos gerado pelo app no campo de confirmação
- Clique em Configure Two-Factor Authentication para salvar
Depois de confirmado, o cPanel exibe uma mensagem de sucesso e, a partir do próximo login, vai solicitar o código TOTP logo após a senha. Guarde o segredo TOTP exibido ao lado do QR Code em um cofre de senhas seguro ou cadastre o mesmo segredo em um segundo autenticador de confiança — essa é a única forma de recuperar o acesso caso o gerador principal seja perdido. Se você administra várias contas, veja também o passo a passo para configurar 2FA no painel cPanel com detalhes sobre a interface de cada versão.
Habilitando o 2FA no servidor e gerenciando usuários via WHM
O WHM permite habilitar a autenticação de dois fatores para todas as contas cPanel do servidor e gerenciar as configurações TOTP existentes. O recurso deve estar ativo no servidor para que cada usuário possa configurá-lo individualmente na própria conta.
- Acesse o WHM com a conta root
- Navegue até Security Center > Two-Factor Authentication
- Confirme que o recurso está habilitado no servidor
- Na aba Manage Users, visualize quais contas já configuraram o TOTP e remova configurações quando necessário (por exemplo, quando um usuário perder o dispositivo)
- Verifique se o item Two-Factor Authentication está ativo no Feature Manager dos pacotes de hospedagem, para que o recurso apareça disponível para os usuários
O WHM não oferece mecanismo nativo para tornar o 2FA obrigatório automaticamente nem para definir prazos de carência. A adoção pelos usuários deve ser incentivada por política interna e comunicação direta. Vale combinar essa habilitação com acesso restrito por IP no painel WHM/cPanel para reduzir ainda mais a superfície de ataque.
Gerenciando contas e removendo o fator pelo WHM
O gerenciamento de contas com dois fatores ativos fica centralizado em WHM > Security Center > Two-Factor Authentication > aba Manage Users. Essa tela lista todos os usuários do servidor e indica quais já configuraram o app autenticador.
- Use o botão Remove nessa área para remover o 2FA de uma conta quando o usuário perder o dispositivo gerador de código
- Verifique o status de cada conta antes de aplicar políticas de acesso em massa
- Combine com e-mails de aviso para reduzir chamados de suporte durante a transição
Depois de remover o fator de uma conta, oriente o usuário a configurar novamente assim que possível, já que o painel fica temporariamente sem a camada extra de proteção. Essa etapa é diferente da proteção da porta SSH: se você também usa autenticação por chave SSH, consulte o passo a passo para configurar autenticação por chave SSH no WHM/cPanel, que cobre a proteção do acesso via terminal.
Boas práticas complementares de hardening no servidor Linux
O hardening completo do cPanel não se resume ao 2FA no painel web. Para cobrir as principais portas de entrada do servidor, combine essa camada com outras medidas de segurança já documentadas.
- Ative também 2FA no acesso SSH, protegendo o terminal além do painel
- Restrinja o acesso ao WHM por IP sempre que possível
- Monitore tentativas de login suspeitas e bloqueie IPs reincidentes
- Mantenha o cPanel atualizado para a versão 130 ou superior
Essas camadas se complementam: o 2FA no painel não impede ataques de força bruta via SSH, nem o inverso. Para fechar esse ciclo, vale revisar o guia de proteção do cPanel contra IPs suspeitos e aplicar as duas proteções em conjunto.
Problemas comuns e como resolver
Sintoma: código do aplicativo autenticador sempre é rejeitado
Causa: o relógio do dispositivo gerador de código está dessincronizado com a hora real, o que invalida o código TOTP mesmo estando correto no momento da digitação.
Solução: ative a sincronização automática de data e hora no dispositivo e gere um novo código imediatamente após a correção. Evite digitar o código quando faltarem poucos segundos para a troca do ciclo de 30 segundos.
Sintoma: usuário perdeu o celular e não consegue mais fazer login
Causa: o app autenticador era a única fonte dos códigos TOTP e o segredo TOTP não foi guardado em um local alternativo seguro.
Solução: com acesso root ao WHM, vá em Security Center > Two-Factor Authentication > aba Manage Users e clique em Remove na conta afetada. Sem acesso root, é necessário abrir chamado com o suporte da hospedagem para verificação de identidade antes da remoção manual.
Sintoma: opção de 2FA não aparece no menu Security do cPanel
Causa: o recurso está desabilitado no servidor pelo administrador do WHM ou removido da configuração de funcionalidades do pacote do usuário.
Solução: verifique se o recurso está habilitado em WHM > Security Center > Two-Factor Authentication e se o item Two-Factor Authentication está ativo no Feature Manager do pacote da conta. Caso o cPanel esteja desatualizado, consulte a versão no WHM ou acesse WHM > cPanel > Upgrade to Latest Version e atualize para a versão 130 ou superior.
Perguntas frequentes
O 2FA do cPanel funciona sem aplicativo de celular?
Sim. O cPanel utiliza o padrão TOTP, que pode ser implementado por qualquer gerador compatível: aplicativo no celular (como Google Authenticator ou Authy), aplicativo de desktop, gerenciador de senhas com suporte a TOTP (como KeePassXC ou Bitwarden) ou token físico que gere códigos TOTP. O cPanel valida apenas o código derivado do segredo TOTP, independentemente do dispositivo ou aplicativo que o gerou. O único segundo fator nativo aceito pelo cPanel é o TOTP; chaves FIDO/WebAuthn não substituem o código TOTP solicitado no login. Recomenda-se proteger o segredo TOTP e não armazená-lo no mesmo local que a senha da conta.
O que fazer se eu perder o celular com o aplicativo autenticador?
Se você ainda tiver acesso ao WHM como root, pode remover o 2FA da conta específica em WHM > Security Center > Two-Factor Authentication > aba Manage Users, clicando em Remove na conta afetada. Caso não tenha acesso root, será necessário abrir um chamado com o suporte da hospedagem para verificação de identidade e remoção manual do fator. Para evitar esse problema, guarde o segredo TOTP exibido ao lado do QR Code durante a configuração inicial em um cofre de senhas seguro, ou cadastre o mesmo segredo em um segundo autenticador de confiança.
O 2FA do cPanel substitui a autenticação por chave SSH?
Não, são camadas de proteção para contextos diferentes: o 2FA do cPanel protege o login no painel web, enquanto a autenticação por chave SSH protege o acesso via terminal ao servidor. O ideal é usar ambos simultaneamente para cobrir as duas superfícies de acesso mais comuns em um VPS Linux. Nenhum dos dois métodos é redundante em relação ao outro.
Quais versões do cPanel suportam autenticação de dois fatores?
O recurso de 2FA está disponível nativamente no cPanel desde versões bem anteriores, mas recomenda-se usar cPanel 130 ou superior para garantir compatibilidade com os aplicativos autenticadores modernos e as correções de segurança recentes. Caso a opção não apareça no menu, verifique primeiro se o recurso está habilitado em WHM > Security Center > Two-Factor Authentication e se o item está ativo no Feature Manager do pacote da conta. Para verificar ou atualizar a versão instalada, consulte o WHM ou acesse WHM > cPanel > Upgrade to Latest Version.
O 2FA pode bloquear meu acesso se o relógio do celular estiver errado?
Sim, o método TOTP depende de sincronização de horário entre o servidor e o dispositivo que gera o código, já que os códigos são válidos por apenas 30 segundos. Se o horário do dispositivo estiver dessincronizado, os códigos gerados não vão corresponder aos esperados pelo servidor e o login falhará. Ative a sincronização automática de data e hora nas configurações do dispositivo para evitar esse problema.
Conclusão
- Ative o 2FA individualmente em Security > Two-Factor Authentication dentro do cPanel
- Habilite o recurso no servidor via WHM > Security Center > Two-Factor Authentication e incentive a adesão dos usuários, pois o WHM não oferece imposição automática nativa
- Combine com proteção por IP e autenticação SSH para cobrir todas as portas de acesso do servidor
Leia também
- Configurar acesso restrito por IP no painel WHM/cPanel para maior segurança
- Passo a passo para configurar autenticação de dois fatores (2FA) no painel cPanel
- Passo a passo para configurar autenticação por chave SSH no painel WHM/cPanel
Precisa de ajuda com segurança no cPanel?
A equipe da AviraHost pode orientar na configuração de 2FA, políticas do WHM e hardening geral do seu ambiente de hospedagem.
