// Bezpieczeństwo// 2FA · TOTP · FIDO2

Uwierzytelnianie dwuskładnikowe (2FA) w Proxmox

Samo hasło nie wystarcza — panel i API Proxmox dają pełną kontrolę nad infrastrukturą, więc to cel numer jeden dla atakującego. Drugi składnik (2FA) sprawia, że wykradzione hasło to za mało. Proxmox ma 2FA wbudowane: TOTP, klucze sprzętowe FIDO2/WebAuthn i klucze odzyskiwania — bez dodatkowych systemów.

// 01 · Po co 2FA

Klucz do całej infrastruktury

Dostęp do Proxmox = możliwość uruchamiania, kasowania i klonowania maszyn oraz dostępu do konsoli każdej z nich. Phishing albo wyciek hasła administratora to scenariusz katastrofalny. 2FA zatrzymuje atakującego nawet wtedy, gdy zna hasło — bo nie ma drugiego składnika. To dziś standard i często wymóg (polityki bezpieczeństwa, NIS2, ubezpieczenia cyber).

// 02 · Metody w Proxmox

TOTP, klucze sprzętowe i klucze odzyskiwania

  • TOTP — kod z aplikacji (Google Authenticator, Aegis, 1Password). Najprostsze i darmowe; każdy użytkownik dodaje je sobie w Datacenter → Permissions → Two Factor.
  • WebAuthn / FIDO2 — klucz sprzętowy (np. YubiKey) lub biometria. Najwyższa odporność na phishing — wymaga skonfigurowania URL/origin w ustawieniach 2FA.
  • Recovery keys — jednorazowe kody awaryjne na wypadek utraty telefonu/klucza. Wygeneruj i przechowuj bezpiecznie.
// 03 · Wymuszenie 2FA

Nie „opcja”, lecz polityka

2FA ma sens, gdy jest obowiązkowe dla kont z dostępem. Proxmox pozwala wymusić TFA na poziomie realmu (np. dla realmu Active Directory albo PVE) — wtedy logowanie bez drugiego składnika jest niemożliwe. Szczególnie chroń konto root@pam: 2FA + mocne hasło, a do codziennej pracy używaj kont imiennych z AD.

💡

Połącz 2FA z integracją AD i rolami: tożsamość z domeny, dostęp przez grupy, a na wejściu obowiązkowy drugi składnik.

// 04 · Dobre praktyki

Żeby 2FA nie zablokowało Ciebie

  • Klucze odzyskiwania wygeneruj od razu i schowaj offline — to ratunek przy utracie urządzenia.
  • Dwa składniki sprzętowe dla adminów (np. dwa YubiKeye: główny + zapasowy).
  • Nie polegaj na SMS — Proxmox go nie używa, i słusznie (SIM-swap). TOTP/FIDO2 są bezpieczniejsze.
  • Procedura odzyskania na wypadek utraty 2FA przez kluczowego administratora — spisana i przetestowana.

Zabezpieczymy dostęp do Twojego Proxmoxa

Wdrożymy 2FA, wymuszenie na realmach, klucze sprzętowe i procedury odzyskiwania — spójnie z integracją AD i Twoją polityką bezpieczeństwa.

⚡ Bezpłatna konsultacja→ Uprawnienia i Active Directory
// Security// 2FA · TOTP · FIDO2

Two-factor authentication (2FA) in Proxmox

A password alone isn't enough — the Proxmox UI and API give full control over your infrastructure, making them the number-one target for an attacker. A second factor (2FA) means a stolen password isn't enough. Proxmox has 2FA built in: TOTP, FIDO2/WebAuthn hardware keys and recovery keys — no extra systems needed.

// 01 · Why 2FA

The key to your whole infrastructure

Access to Proxmox = the ability to start, delete and clone machines and reach the console of every one of them. Phishing or a leaked admin password is a catastrophic scenario. 2FA stops the attacker even if they know the password — because they don't have the second factor. It's a standard today and often a requirement (security policies, NIS2, cyber insurance).

// 02 · Methods in Proxmox

TOTP, hardware keys and recovery keys

  • TOTP — a code from an app (Google Authenticator, Aegis, 1Password). The simplest and free; each user adds it under Datacenter → Permissions → Two Factor.
  • WebAuthn / FIDO2 — a hardware key (e.g. YubiKey) or biometrics. The highest phishing resistance — requires configuring the URL/origin in the 2FA settings.
  • Recovery keys — one-time emergency codes in case you lose your phone/key. Generate and store them securely.
// 03 · Enforcing 2FA

Not an "option" but a policy

2FA makes sense when it's mandatory for accounts with access. Proxmox lets you enforce TFA at the realm level (e.g. for the Active Directory or PVE realm) — then logging in without a second factor is impossible. Protect the root@pam account in particular: 2FA + a strong password, and use named AD accounts for day-to-day work.

💡

Combine 2FA with AD integration and roles: identity from the domain, access via groups, and a mandatory second factor at the door.

// 04 · Best practices

So 2FA doesn't lock you out

  • Recovery keys — generate them right away and store them offline; they're your lifeline if you lose a device.
  • Two hardware factors for admins (e.g. two YubiKeys: primary + backup).
  • Don't rely on SMS — Proxmox doesn't use it, and rightly so (SIM-swap). TOTP/FIDO2 are safer.
  • A recovery procedure for a key admin losing their 2FA — written down and tested.

We'll secure access to your Proxmox

We'll roll out 2FA, realm enforcement, hardware keys and recovery procedures — consistent with your AD integration and security policy.

⚡ Free consultation→ Permissions and Active Directory