Sicherheit

Wo im Admin: System › Admin › Console security (/account), Admin users (/users); System › Settings › Customer logins (/settings/login).

Admin-Konsole

Zwei-Faktor-Authentifizierung (TOTP)

Die Konsole ist aus dem Internet erreichbar, aktivieren Sie daher TOTP.

1. Öffnen Sie System › Admin › Console security.
2. Klicken Sie unter Two-factor authentication (TOTP) auf Start setup.
3. Scannen Sie den QR-Code mit Google Authenticator, Authy, 1Password oder Bitwarden und geben Sie dann den 6-stelligen Code ein.

Erlaubte Konsolen-IP-Bereiche

Geben Sie unter Allowed console IP ranges eine IP oder CIDR (IPv4 oder IPv6) pro Zeile ein. Leer bedeutet von überall. Außerhalb des Bereichs sind sowohl die Anmeldung als auch die Admin-API blockiert.

Sperren Sie sich nicht selbst aus

Die Seite zeigt Ihre aktuelle IP an und erfordert, dass die neue Liste diese enthält. Verwenden Sie + Add my IP. Wenn Sie dennoch ausgesperrt sind, nutzen Sie den emergency access vom Server.

Passwort ändern

Füllen Sie Current password, New password und Confirm new password aus. Verwenden Sie ein langes, eindeutiges Passwort (12 Zeichen oder mehr; der Setup-Assistent erzwingt 12 für den ersten Administrator).

Administratorenkonten und -rollen

Öffnen Sie System › Admin › Admin users und verwenden Sie + Create account.

Rolle	Zugriff
admin	Vollzugriff auf die Admin-API
staff	Schreibgeschützt im gesamten System
user	Schreibgeschützte Ansicht der Ressourcen eines Kunden

Das Root-Konto ist das im setup wizard erstellte Konto. Zeilenaktionen: Edit, Reset PW, Key, Delete. Passwörter werden als Salted Hashes gespeichert; das Ändern oder Sperren eines Kontos beendet dessen Sitzungen sofort.

Kundenanmeldung

Öffnen Sie System › Settings › Customer logins.

Einstellung	Funktion
Google-Anmeldung	Aktivieren Sie die Funktion und geben Sie die OAuth-Client-ID sowie das Geheimnis ein. Kopieren Sie die auf der Seite angezeigte Callback URL in Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs. Verwenden Sie Test configuration.
GitHub login	Entsprechend mit GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL
Passkey	Anmeldung per Fingerabdruck, PIN oder Hardware-Schlüssel; standardmäßig aktiv. Passkeys sind an die Domain gebunden, jede Reseller-Domain funktioniert separat. Tragen Sie nach einem Rebranding eine alte Domain unter Legacy passkey Domain ein, damit Kunden einen hilfreichen Hinweis erhalten
Erneut authentifizieren beim Hinzufügen von Anmeldemethoden	Erneut zur Passworteingabe auffordern, bevor ein Passkey hinzugefügt oder Google/GitHub verknüpft wird (standardmäßig aus)
Captcha	Cloudflare Turnstile oder Google reCAPTCHA bei der Registrierung: aktivieren, Anbieter auswählen, Site-Key und Secret-Key eingeben
Block e-mail domains	Eine Domain pro Zeile (max. 2000). Übereinstimmende Adressen werden bei der Registrierung abgelehnt mit email_domain_blocked

Integrierte Richtlinien

Richtlinie	Wert
Kundenpasswort	Mindestens 10 Zeichen, Buchstaben und Ziffern
Kunden-Sitzung	30 Tage; Sitzungen bei „Als Kunde anmelden“ dauern 1 Stunde
E-Mail-Bestätigung	Erforderlich vor dem Erstellen einer VM, wenn require e-mail verified in den Verkaufseinstellungen aktiv ist
Anti-Carding	Konten mit weniger als dem Mindestguthaben können nur eine begrenzte Anzahl von VMs erstellen

Server-Härtung

• Port 3000 wird nach der Einrichtung und TLS geschlossen; siehe Installation.
• Der Dienst läuft als unprivilegierter nexcmp-Benutzer in einer eingeschränkten systemd-Sandbox.
• API-Schlüssel, Zahlungsdaten und SMTP-Passwörter werden verschlüsselt gespeichert; der Master-Schlüssel befindet sich in /var/lib/nexcmp/secrets — schützen Sie Ihre backups.
• Releases werden vor der Installation mit SHA-256 und einer Ed25519-Signatur verifiziert.