Sicurezza

Dove nell'amministrazione: System › Admin › Console security (/account), Admin users (/users); System › Settings › Customer logins (/settings/login).

Console di amministrazione

Autenticazione a due fattori (TOTP)

La console è raggiungibile da Internet, quindi attiva il TOTP.

1. Apri System › Admin › Console security.
2. In Two-factor authentication (TOTP) fai clic su Start setup.
3. Scansiona il codice QR con Google Authenticator, Authy, 1Password o Bitwarden, quindi inserisci il codice a 6 cifre.

Intervalli IP consentiti per la console

In Allowed console IP ranges inserisci un IP o un CIDR (IPv4 o IPv6) per riga. Il campo vuoto significa ovunque. Al di fuori dell'intervallo, sia l'accesso che le API di amministrazione vengono bloccati.

Non bloccare il tuo accesso

La pagina mostra il tuo IP attuale e richiede che il nuovo elenco lo includi. Usa + Add my IP. Se vieni comunque bloccato, usa l'emergency access dal server.

Modifica password

Compila Current password, New password e Confirm new password. Usa una password lunga e univoca (12 caratteri o più; la procedura guidata di configurazione ne richiede 12 per il primo amministratore).

Account amministratore e ruoli

Apri System › Admin › Admin users e usa + Create account.

Ruolo	Accesso
admin	Accesso completo alle API di amministrazione
staff	Sola lettura nell'intero sistema
user	Vista di sola lettura delle risorse di un singolo cliente

L'account root è quello creato nella setup wizard. Azioni sulle righe: Edit, Reset PW, Key, Delete. Le password vengono memorizzate come hash con salt; la modifica o il blocco di un account termina immediatamente le sue sessioni.

Accesso cliente

Apri System › Settings › Customer logins.

Impostazione	Descrizione
Google sign-in	Abilita e inserisci l'ID client e il segreto OAuth. Copia l'Callback URL mostrata nella pagina in Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs. Usa Test configuration.
GitHub login	Lo stesso, con GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL
Passkey	Accesso tramite impronta digitale, PIN o chiave hardware; attivo per impostazione predefinita. Le passkey sono vincolate al dominio; ogni dominio di rivenditore funziona autonomamente. Inserisci un vecchio dominio in Legacy passkey Domain dopo un rebranding per offrire un utile suggerimento ai clienti
Riautenticati quando aggiungi metodi di accesso	Richiedi nuovamente la password prima di aggiungere una passkey o collegare Google/GitHub (disattivato per impostazione predefinita)
Captcha	Cloudflare Turnstile o Google reCAPTCHA al momento della registrazione: abilita, scegli il provider, inserisci la chiave del sito e la chiave segreta
Block e-mail domains	Un dominio per riga (max 2000). Gli indirizzi corrispondenti vengono rifiutati in fase di registrazione con email_domain_blocked

Criteri integrati

Policy	Valore
Password del cliente	Almeno 10 caratteri, lettere e cifre
Sessione cliente	30 giorni; le sessioni "accedi come cliente" durano 1 ora
Verifica e-mail	Richiesta prima di creare una VM quando require e-mail verified è attivo nelle impostazioni di vendita
Anti-carding	Gli account con un credito inferiore alla ricarica minima possono creare solo un numero limitato di VM

Rafforzamento del server

• La porta 3000 viene chiusa dopo l'installazione e TLS; vedi Installation.
• Il servizio viene eseguito come utente non privilegiato nexcmp con una sandbox systemd limitata.
• Chiavi API, credenziali di pagamento e password SMTP sono memorizzate crittografate; la chiave principale si trova in /var/lib/nexcmp/secrets — proteggi i backups.
• Le release vengono verificate con SHA-256 e una firma Ed25519 prima dell'installazione.