เปลี่ยนรหัสผ่านและเปิด Two-Step Authentication บน DirectAdmin

บัญชี DirectAdmin เป็นกุญแจของทุกอย่างในโฮสติ้ง ทั้งไฟล์เว็บ ฐานข้อมูล และกล่องอีเมล หากรหัสผ่านรั่ว ผู้ไม่หวังดีสามารถฝังมัลแวร์ ลบเว็บ หรือสร้างอีเมลไว้ส่ง Spam ได้ทันที การใช้รหัสผ่านที่แข็งแรงร่วมกับ Two-Step Authentication (การยืนยันตัวตนสองขั้นตอน หรือ 2FA) ช่วยให้แม้รหัสผ่านหลุด ผู้โจมตีก็ยังเข้าไม่ได้หากไม่มีโทรศัพท์ของคุณ

DirectAdmin ใช้มาตรฐาน TOTP คือรหัส 6 หลักที่เปลี่ยนทุก 30 วินาที ใช้ได้กับแอปทั่วไป เช่น Google Authenticator, Microsoft Authenticator หรือแอปจัดการรหัสผ่านที่รองรับ TOTP

สิ่งที่ต้องเตรียม

• บัญชี DirectAdmin ที่เข้าสู่ระบบได้ในขณะนี้ บทความนี้อ้างอิง Evolution skin
• โทรศัพท์ที่ติดตั้งแอป Authenticator แล้ว และตั้งเวลาเป็นแบบอัตโนมัติ
• ที่เก็บรหัสผ่านที่ปลอดภัย เช่น Password Manager สำหรับเก็บรหัสผ่านใหม่และ Scratch Codes

หมายเหตุ: รหัสผ่านของบัญชี DirectAdmin แยกจากรหัสผ่านของกล่องอีเมล, บัญชี FTP และผู้ใช้ฐานข้อมูล การเปลี่ยนรหัสในบทความนี้ไม่ได้เปลี่ยนรหัสเหล่านั้น

ขั้นตอนที่ 1: เปลี่ยนรหัสผ่านบัญชี DirectAdmin

1. เข้าสู่ระบบ DirectAdmin
2. คลิกชื่อผู้ใช้ที่มุมขวาบน แล้วเลือก Change Password ในบางเวอร์ชันเมนูนี้อยู่ที่ Account Manager หรือ Advanced Features ในชื่อ Password หรือใช้ช่องค้นหาเมนูด้านบนพิมพ์คำว่า Password ก็ได้
3. กรอกรหัสผ่านปัจจุบันในช่อง Current Password
4. กรอกรหัสผ่านใหม่ในช่อง New Password และช่องยืนยัน หรือกดปุ่มสุ่มรหัส (ไอคอนลูกเต๋าหรือ Random) เพื่อให้ระบบสร้างให้
5. ตรวจว่ามีตัวเลือกให้เปลี่ยนรหัสผ่านของบริการอื่นพร้อมกันหรือไม่ (บางเวอร์ชันมีช่องติ๊กสำหรับ FTP หรือ Database) เลือกเฉพาะที่ตั้งใจเปลี่ยน
6. กด Change Password หรือ Save

หลักการตั้งรหัสผ่านที่แนะนำ

• ยาวอย่างน้อย 14 ตัวอักษร การใช้วลีหลายคำที่ไม่เกี่ยวกันยาวดีกว่ารหัสสั้นที่ซับซ้อน
• ไม่ซ้ำกับรหัสผ่านอื่นที่เคยใช้ โดยเฉพาะอีเมลส่วนตัวหรือโซเชียล
• ไม่ใส่ชื่อโดเมน ชื่อบริษัท หรือปีปัจจุบัน

หลังเปลี่ยน ระบบอาจให้เข้าสู่ระบบใหม่ ถ้ามีสคริปต์หรือแอปที่ใช้ API ของ DirectAdmin ด้วยรหัสผ่านเดิม ต้องอัปเดตด้วย (ทางที่ดีควรเปลี่ยนไปใช้ Login Key แทนรหัสผ่านจริง)

ขั้นตอนที่ 2: เปิด Two-Step Authentication

1. คลิกชื่อผู้ใช้ที่มุมขวาบน หรือไปที่ Advanced Features แล้วเลือก Two-Step Authentication (ถ้าไม่พบ ให้พิมพ์ Two-Step ในช่องค้นหาเมนู)
2. กด Generate Secret หรือปุ่มสร้าง Secret ระบบจะแสดง QR Code และรหัส Secret เป็นตัวอักษร
3. เปิดแอป Authenticator บนโทรศัพท์ เลือกเพิ่มบัญชีด้วยการสแกน QR Code แล้วสแกนจากหน้าจอ หากสแกนไม่ได้ ให้เลือกกรอกรหัสด้วยมือแล้วพิมพ์ Secret ที่แสดงอยู่
4. แอปจะแสดงรหัส 6 หลักภายใต้ชื่อเซิร์ฟเวอร์ ให้นำรหัสปัจจุบันไปกรอกในช่องยืนยันบนหน้า DirectAdmin
5. ติ๊กตัวเลือก Require Two-Step Authentication (หรือ Enable) แล้วกด Save

ถ้ารหัสถูกต้อง ระบบจะแจ้งว่าเปิดใช้งานแล้ว จากนี้การเข้าสู่ระบบทุกครั้งจะมีหน้าถามรหัส 6 หลักหลังกรอกรหัสผ่าน

ขั้นตอนที่ 3: สร้างและเก็บ Scratch Codes

Scratch Codes คือรหัสสำรองแบบใช้ครั้งเดียว ใช้เข้าระบบแทนรหัส 6 หลักเมื่อโทรศัพท์หาย เสีย หรือเปลี่ยนเครื่องโดยไม่ได้ย้ายแอป

1. ในหน้า Two-Step Authentication กด Generate Scratch Codes หรือปุ่มที่มีชื่อใกล้เคียง
2. คัดลอกรหัสทั้งหมดเก็บไว้ใน Password Manager หรือพิมพ์เก็บในที่ปลอดภัย แยกจากโทรศัพท์
3. รหัสแต่ละตัวใช้ได้ครั้งเดียว เมื่อใช้ไปแล้วควรสร้างชุดใหม่

หน้านี้ยังมีตัวเลือกเพิ่มเติมที่พบในหลายเวอร์ชัน เช่น การจดจำเครื่องที่เชื่อถือได้ไว้ชั่วระยะหนึ่ง ให้เปิดเฉพาะบนคอมพิวเตอร์ส่วนตัวเท่านั้น ห้ามเปิดบนเครื่องสาธารณะ

ตรวจสอบผลลัพธ์

1. อย่าเพิ่งออกจากระบบในแท็บเดิม ให้เปิดเบราว์เซอร์แบบ Private หรือเบราว์เซอร์อีกตัว แล้วเข้าหน้า DirectAdmin
2. กรอกชื่อผู้ใช้และรหัสผ่านใหม่ ระบบต้องถามรหัส 6 หลักต่อ
3. กรอกรหัสจากแอป ต้องเข้าสู่ระบบได้
4. เมื่อทดสอบผ่านแล้วจึงปิดแท็บเดิมได้ หากทดสอบไม่ผ่าน ให้กลับไปที่แท็บเดิมซึ่งยังเข้าสู่ระบบอยู่ แล้วปิด Two-Step Authentication ชั่วคราวก่อนแก้ไข

การเปิดแท็บเดิมค้างไว้ระหว่างทดสอบสำคัญมาก เพราะถ้าตั้งค่าผิดแล้วออกจากระบบไปเลย คุณจะต้องพึ่งผู้ดูแลเซิร์ฟเวอร์ในการปลดล็อก

ปัญหาที่พบบ่อย

รหัส 6 หลักไม่ผ่านทั้งที่พิมพ์ถูก

สาเหตุอันดับหนึ่งคือเวลาบนโทรศัพท์ไม่ตรง TOTP ขึ้นกับเวลาทั้งสองฝั่ง ให้ตั้งวันที่และเวลาของโทรศัพท์เป็นอัตโนมัติ ใน Google Authenticator บน Android บางเวอร์ชันมีเมนูซิงก์เวลาให้ด้วย ถ้าคุณดูแลเซิร์ฟเวอร์เอง ตรวจเวลาเซิร์ฟเวอร์ด้วย timedatectl ดูวิธีตั้งเวลาได้ที่ ตั้ง Timezone และซิงก์เวลาบน Linux

ทำโทรศัพท์หาย

ใช้ Scratch Code ตัวใดตัวหนึ่งเข้าสู่ระบบ แล้วปิดและเปิด Two-Step Authentication ใหม่เพื่อผูกกับโทรศัพท์เครื่องใหม่ Secret เดิมควรถือว่าไม่ปลอดภัยแล้ว ถ้าไม่มี Scratch Code ต้องให้ผู้ดูแลระดับ Reseller หรือ Admin ปิด 2FA ให้หลังยืนยันตัวตน

เปลี่ยนโทรศัพท์ใหม่

หากแอปรองรับการย้ายบัญชี (เช่นการ Export ใน Google Authenticator) ให้ย้ายก่อนล้างเครื่องเก่า มิฉะนั้นให้ปิดและเปิด 2FA ใหม่ขณะที่เครื่องเก่ายังใช้ได้

ถูกล็อกเพราะกรอกผิดหลายครั้ง

DirectAdmin มีระบบ Brute Force Monitor ที่อาจบล็อก IP ชั่วคราวเมื่อเข้าสู่ระบบผิดซ้ำ รอให้ครบเวลาที่ถูกบล็อก หรือเข้าจากเครือข่ายอื่น แล้วตรวจรหัสผ่านให้แน่ใจก่อนลองใหม่

สำหรับบัญชีอื่นที่ควรเปิด 2FA เช่นกัน ดู เปิด MFA บน Microsoft 365 และ เปิด Two-Factor บน WordPress

หากทำตามขั้นตอนแล้วยังติดปัญหา สามารถติดต่อทีมงานซัพพอร์ตของ THAI DATA CLOUD ได้ที่ https://thaidata.cloud/contact/ โดยแจ้งชื่อโดเมน สิ่งที่ทำไปแล้ว และข้อความ Error ที่พบ เพื่อให้ทีมงานตรวจสอบได้รวดเร็วขึ้น