---
title: Security
description: Proteja la consola con 2FA y listas de IP, gestione roles y el acceso de clientes: passkeys, Google, GitHub, captcha y dominios de correo bloqueados.
url: https://nexcmp.com/es/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Security {#security}

> **Ubicación en el admin:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Consola de administración {#admin-console}

### Autenticación de dos factores (TOTP) {#two-factor-authentication-totp}

La consola es accesible desde Internet, así que active TOTP.

1. Abra **System › Admin › Console security**.
2. En **Two-factor authentication (TOTP)**, haga clic en **Start setup**.
3. Escanee el código QR con Google Authenticator, Authy, 1Password o Bitwarden y, a continuación, introduzca el código de 6 dígitos.

### Rangos de IP permitidos para la consola {#allowed-console-ip-ranges}

En **Allowed console IP ranges**, introduzca una IP o CIDR (IPv4 o IPv6) por línea. **Dejarlo vacío permite el acceso desde cualquier lugar.** Fuera del rango, se bloquean tanto el inicio de sesión como la admin API.

::: warning Evite perder el acceso
La página muestra su IP actual y requiere que la nueva lista la incluya. Utilice **+ Add my IP**. Si a pesar de ello pierde el acceso, utilice el [acceso de emergencia](https://nexcmp.com/es/docs/getting-started/cli-reference/#emergency-access) desde el servidor.
:::

### Cambiar contraseña {#change-password}

Complete **Current password**, **New password** y **Confirm new password**. Utilice una contraseña larga y única (de 12 caracteres o más; el asistente de configuración exige 12 para el primer administrador).

### Cuentas y roles de administrador {#administrator-accounts-and-roles}

Abra **System › Admin › Admin users** y utilice **+ Create account**.

| Rol | Acceso |
|---|---|
| `admin` | Acceso total a la admin API |
| `staff` | Solo lectura en todo el sistema |
| `user` | Vista de solo lectura de los recursos de un cliente |

La cuenta root es la creada en el [asistente de configuración](https://nexcmp.com/es/docs/getting-started/setup-wizard/). Acciones de fila: **Edit**, **Reset PW**, **Key**, **Delete**. Las contraseñas se almacenan como hashes con salt; modificar o bloquear una cuenta cierra sus sesiones de inmediato.

## Inicio de sesión de clientes {#customer-sign-in}

Abra **System › Settings › Customer logins**.

| Ajuste | Qué hace |
|---|---|
| **Google sign-in** | Habilite y luego introduzca el client ID y el secret de OAuth. Copie la **Callback URL** que se muestra en la página en *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Utilice **Test configuration**. |
| **Inicio de sesión con GitHub** | Igual, con *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Inicio de sesión mediante huella dactilar, PIN o llave de hardware; activado por defecto. Las passkeys están vinculadas al dominio; el dominio de cada revendedor funciona por separado. Introduzca un dominio anterior en *Legacy passkey Domain* tras un cambio de marca para que los clientes reciban una sugerencia útil |
| **Reautenticar al añadir métodos de inicio de sesión** | Solicita de nuevo la contraseña antes de añadir una passkey o vincular Google/GitHub (desactivado por defecto) |
| **Captcha** | Cloudflare Turnstile o Google reCAPTCHA en el registro: habilite, elija el proveedor e introduzca la site key y la secret key |
| **Bloquear dominios de correo electrónico** | Un dominio por línea (máx. 2000). Las direcciones que coincidan se rechazan en el registro con `email_domain_blocked` |

![La página Customer logins que muestra el inicio de sesión con Google y su Callback URL](https://nexcmp.com/es/docs/images/administration/security-01-customer-logins.webp)

### Políticas integradas {#built-in-policies}

| Política | Valor |
|---|---|
| Contraseña del cliente | Al menos 10 caracteres, letras y dígitos |
| Sesión del cliente | 30 días; las sesiones de "login as customer" duran 1 hora |
| Verificación de correo electrónico | Obligatorio antes de crear una VM cuando *require e-mail verified* está activado en los ajustes de ventas |
| Anti-carding | Las cuentas con menos de la recarga mínima solo pueden crear un número limitado de VM |

## Fortalecimiento del servidor {#server-hardening}

- El puerto 3000 se cierra tras la configuración y TLS; consulte [Instalación](https://nexcmp.com/es/docs/getting-started/installation/#the-panel-port-3000).
- El servicio se ejecuta como el usuario sin privilegios `nexcmp` con un sandbox de systemd restringido.
- Las claves de API, las credenciales de pago y las contraseñas SMTP se almacenan cifradas; la clave maestra está en `/var/lib/nexcmp/secrets` — proteja los [backups](https://nexcmp.com/es/docs/getting-started/backup-and-restore/).
- Las versiones se verifican con SHA-256 y una firma Ed25519 antes de la instalación.