सुरक्षा
Where in the admin: System › Admin › Console security (
/account), Admin users (/users); System › Settings › Customer logins (/settings/login)।
एडमिन कंसोल
टू-फैक्टर ऑथेंटिकेशन (TOTP)
कंसोल इंटरनेट से पहुंच योग्य है, इसलिए TOTP चालू करें।
- System › Admin › Console security खोलें।
- Two-factor authentication (TOTP) के अंतर्गत Start setup पर क्लिक करें।
- Google Authenticator, Authy, 1Password या Bitwarden से QR कोड स्कैन करें, फिर 6-अंकों का कोड दर्ज करें।
अनुमत कंसोल IP रेंज
Allowed console IP ranges के अंतर्गत प्रति लाइन एक IP या CIDR (IPv4 या IPv6) दर्ज करें। खाली छोड़ने का अर्थ है कहीं से भी। रेंज के बाहर साइन-इन और एडमिन API दोनों ब्लॉक हो जाते हैं।
खुद को लॉक आउट न करें
यह पृष्ठ आपका वर्तमान IP दिखाता है और मांगता है कि नई सूची में वह शामिल हो। + Add my IP का उपयोग करें। यदि आप फिर भी लॉक आउट हो जाते हैं, तो सर्वर से emergency access का उपयोग करें।
पासवर्ड बदलें
Current password, New password और Confirm new password भरें। एक लंबा, अद्वितीय पासवर्ड उपयोग करें (12 वर्ण या अधिक; सेटअप विज़ार्ड पहले एडमिनिस्ट्रेटर के लिए 12 लागू करता है)।
एडमिनिस्ट्रेटर खाते और भूमिकाएं
System › Admin › Admin users खोलें और + Create account का उपयोग करें।
| Role | एक्सेस |
|---|---|
admin | एडमिन API तक पूर्ण एक्सेस |
staff | पूरे सिस्टम में केवल-पढ़ने के लिए (Read-only) |
user | एक ग्राहक के संसाधनों का केवल-पढ़ने के लिए दृश्य |
रूट खाता वह है जो setup wizard में बनाया गया था। पंक्ति क्रियाएं: Edit, Reset PW, Key, Delete। पासवर्ड साल्टेड हैश के रूप में संग्रहीत होते हैं; खाता बदलना या लॉक करना उसके सत्रों को तुरंत समाप्त कर देता है।
ग्राहक साइन-इन
System › Settings › Customer logins खोलें।
| सेटिंग | यह क्या करता है |
|---|---|
| Google sign-in | सक्षम करें, फिर OAuth क्लाइंट ID और सीक्रेट दर्ज करें। पेज पर दिखाई देने वाले Callback URL को Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs में कॉपी करें। Test configuration का उपयोग करें। |
| GitHub login | इसी तरह, GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL के साथ |
| Passkey | फिंगरप्रिंट, पिन या हार्डवेयर की लॉगिन; डिफ़ॉल्ट रूप से चालू। पासकी डोमेन से बंधे होते हैं; प्रत्येक रीeller डोमेन अपने दम पर काम करता है। रीब्रैंड के बाद ग्राहकों को उपयोगी संकेत मिलने के लिए Legacy passkey Domain में पुराना डोमेन दर्ज करें |
| साइन-इन विधियाँ जोड़ते समय दोबारा प्रमाणीकरण करें | पासकी जोड़ने या Google/GitHub लिंक करने से पहले पासवर्ड दोबारा मांगें (डिफ़ॉल्ट रूप से बंद) |
| Captcha | साइन-अप पर Cloudflare Turnstile या Google reCAPTCHA: सक्षम करें, प्रदाता चुनें, साइट की और सीक्रेट की दर्ज करें |
| Block e-mail domains | प्रति लाइन एक डोमेन (अधिकतम 2000)। मेल खाने वाले पते साइन-अप पर अस्वीकार कर दिए जाते हैं email_domain_blocked |
अंतर्निहित नीतियां
| पॉलिसी | मान |
|---|---|
| ग्राहक पासवर्ड | कम से कम 10 वर्ण, अक्षर और अंक |
| ग्राहक सत्र | 30 दिन; "ग्राहक के रूप में लॉगिन करें" सत्र 1 घंटे तक चलते हैं |
| ईमेल सत्यापन | बिक्री सेटिंग्स में require e-mail verified चालू होने पर VM बनाने से पहले आवश्यक |
| एंटी-कार्डिंग | न्यूनतम टॉप-अप से कम राशि वाले खाते केवल सीमित संख्या में VM बना सकते हैं |
सर्वर हार्डनिंग
- सेटअप और TLS के बाद पोर्ट 3000 बंद कर दिया जाता है; Installation देखें।
- सेवा एक अप्रिविलेज्ड
nexcmpउपयोगकर्ता के रूप में प्रतिबंधित systemd सैंडबॉक्स के साथ चलती है। - API की, भुगतान क्रेडेंशियल और SMTP पासवर्ड एन्क्रिप्टेड रूप में संग्रहीत होते हैं; मास्टर की
/var/lib/nexcmp/secretsमें है — backups की सुरक्षा करें। - इंस्टॉल करने से पहले रिलीज़ को SHA-256 और Ed25519 हस्ताक्षर से सत्यापित किया जाता है।