---
title: Sicurezza
description: Proteggi la console admin con 2FA e allowlist IP, gestisci ruoli admin e login clienti: passkey, Google e GitHub, captcha e domini e-mail bloccati.
url: https://nexcmp.com/it/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Sicurezza {#security}

> **Dove nell'amministrazione:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Console di amministrazione {#admin-console}

### Autenticazione a due fattori (TOTP) {#two-factor-authentication-totp}

La console è raggiungibile da Internet, quindi attiva il TOTP.

1. Apri **System › Admin › Console security**.
2. In **Two-factor authentication (TOTP)** fai clic su **Start setup**.
3. Scansiona il codice QR con Google Authenticator, Authy, 1Password o Bitwarden, quindi inserisci il codice a 6 cifre.

### Intervalli IP consentiti per la console {#allowed-console-ip-ranges}

In **Allowed console IP ranges** inserisci un IP o un CIDR (IPv4 o IPv6) per riga. **Il campo vuoto significa ovunque.** Al di fuori dell'intervallo, sia l'accesso che le API di amministrazione vengono bloccati.

::: warning Non bloccare il tuo accesso
La pagina mostra il tuo IP attuale e richiede che il nuovo elenco lo includi. Usa **+ Add my IP**. Se vieni comunque bloccato, usa l'[emergency access](https://nexcmp.com/it/docs/getting-started/cli-reference/#emergency-access) dal server.
:::

### Modifica password {#change-password}

Compila **Current password**, **New password** e **Confirm new password**. Usa una password lunga e univoca (12 caratteri o più; la procedura guidata di configurazione ne richiede 12 per il primo amministratore).

### Account amministratore e ruoli {#administrator-accounts-and-roles}

Apri **System › Admin › Admin users** e usa **+ Create account**.

| Ruolo | Accesso |
|---|---|
| `admin` | Accesso completo alle API di amministrazione |
| `staff` | Sola lettura nell'intero sistema |
| `user` | Vista di sola lettura delle risorse di un singolo cliente |

L'account root è quello creato nella [setup wizard](https://nexcmp.com/it/docs/getting-started/setup-wizard/). Azioni sulle righe: **Edit**, **Reset PW**, **Key**, **Delete**. Le password vengono memorizzate come hash con salt; la modifica o il blocco di un account termina immediatamente le sue sessioni.

## Accesso cliente {#customer-sign-in}

Apri **System › Settings › Customer logins**.

| Impostazione | Descrizione |
|---|---|
| **Google sign-in** | Abilita e inserisci l'ID client e il segreto OAuth. Copia l'**Callback URL** mostrata nella pagina in *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Usa **Test configuration**. |
| **GitHub login** | Lo stesso, con *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Accesso tramite impronta digitale, PIN o chiave hardware; attivo per impostazione predefinita. Le passkey sono vincolate al dominio; ogni dominio di rivenditore funziona autonomamente. Inserisci un vecchio dominio in *Legacy passkey Domain* dopo un rebranding per offrire un utile suggerimento ai clienti |
| **Riautenticati quando aggiungi metodi di accesso** | Richiedi nuovamente la password prima di aggiungere una passkey o collegare Google/GitHub (disattivato per impostazione predefinita) |
| **Captcha** | Cloudflare Turnstile o Google reCAPTCHA al momento della registrazione: abilita, scegli il provider, inserisci la chiave del sito e la chiave segreta |
| **Block e-mail domains** | Un dominio per riga (max 2000). Gli indirizzi corrispondenti vengono rifiutati in fase di registrazione con `email_domain_blocked` |

![La pagina di accesso dei clienti che mostra il login Google con il relativo URL di callback](https://nexcmp.com/it/docs/images/administration/security-01-customer-logins.webp)

### Criteri integrati {#built-in-policies}

| Policy | Valore |
|---|---|
| Password del cliente | Almeno 10 caratteri, lettere e cifre |
| Sessione cliente | 30 giorni; le sessioni "accedi come cliente" durano 1 ora |
| Verifica e-mail | Richiesta prima di creare una VM quando *require e-mail verified* è attivo nelle impostazioni di vendita |
| Anti-carding | Gli account con un credito inferiore alla ricarica minima possono creare solo un numero limitato di VM |

## Rafforzamento del server {#server-hardening}

- La porta 3000 viene chiusa dopo l'installazione e TLS; vedi [Installation](https://nexcmp.com/it/docs/getting-started/installation/#the-panel-port-3000).
- Il servizio viene eseguito come utente non privilegiato `nexcmp` con una sandbox systemd limitata.
- Chiavi API, credenziali di pagamento e password SMTP sono memorizzate crittografate; la chiave principale si trova in `/var/lib/nexcmp/secrets` — proteggi i [backups](https://nexcmp.com/it/docs/getting-started/backup-and-restore/).
- Le release vengono verificate con SHA-256 e una firma Ed25519 prima dell'installazione.