---
title: Segurança
description: Proteja o admin com 2FA e IPs permitidos, gerencie funções e configure o login de clientes: passkeys, Google, GitHub, captcha e domínios bloqueados.
url: https://nexcmp.com/pt/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Segurança {#security}

> **Onde encontrar no admin:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Console administrativo {#admin-console}

### Autenticação de dois fatores (TOTP) {#two-factor-authentication-totp}

O console é acessível a partir da Internet, portanto, ative o TOTP.

1. Abra **System › Admin › Console security**.
2. Em **Two-factor authentication (TOTP)**, clique em **Start setup**.
3. Escaneie o código QR com o Google Authenticator, Authy, 1Password ou Bitwarden e insira o código de 6 dígitos.

### Intervalos de IP permitidos para o console {#allowed-console-ip-ranges}

Em **Allowed console IP ranges**, insira um IP ou CIDR (IPv4 ou IPv6) por linha. **Campo vazio significa qualquer lugar.** Fora desse intervalo, tanto o login quanto a API de admin serão bloqueados.

::: warning Não fique sem acesso
A página exibe seu IP atual e exige que a nova lista o inclua. Use **+ Add my IP**. Se você perder o acesso mesmo assim, utilize o [emergency access](https://nexcmp.com/pt/docs/getting-started/cli-reference/#emergency-access) a partir do servidor.
:::

### Alterar senha {#change-password}

Preencha **Current password**, **New password** e **Confirm new password**. Use uma senha longa e exclusiva (12 caracteres ou mais; o assistente de instalação exige 12 para o primeiro administrador).

### Contas e funções de administradores {#administrator-accounts-and-roles}

Abra **System › Admin › Admin users** e use **+ Create account**.

| Função | Acesso |
|---|---|
| `admin` | Acesso total à API de admin |
| `staff` | Apenas leitura em todo o sistema |
| `user` | Visualização somente leitura dos recursos de um cliente |

A conta root é a criada no [setup wizard](https://nexcmp.com/pt/docs/getting-started/setup-wizard/). Ações de linha: **Edit**, **Reset PW**, **Key**, **Delete**. As senhas são armazenadas como hashes com salt; alterar ou bloquear uma conta encerra suas sessões imediatamente.

## Login de clientes {#customer-sign-in}

Abra **System › Settings › Customer logins**.

| Configuração | O que faz |
|---|---|
| **Google sign-in** | Ative e insira o ID de cliente OAuth e o segredo. Copie a **Callback URL** exibida na página para *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Use **Test configuration**. |
| **GitHub login** | O mesmo, com *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Login por impressão digital, PIN ou chave de hardware; ativado por padrão. As passkeys são vinculadas ao domínio; cada domínio de revendedor funciona de forma independente. Insira um domínio antigo em *Legacy passkey Domain* após um rebranding para que os clientes recebam uma dica útil |
| **Reautenticar ao adicionar métodos de login** | Solicitar a senha novamente antes de adicionar uma passkey ou vincular o Google/GitHub (desativado por padrão) |
| **Captcha** | Cloudflare Turnstile ou Google reCAPTCHA no cadastro: ative, escolha o provedor, insira a chave do site e a chave secreta |
| **Block e-mail domains** | Um domínio por linha (máx. 2000). Endereços correspondentes são rejeitados no cadastro com `email_domain_blocked` |

![A página de login do cliente mostrando o login do Google com sua URL de callback](https://nexcmp.com/pt/docs/images/administration/security-01-customer-logins.webp)

### Built-in policies {#built-in-policies}

| Política | Valor |
|---|---|
| Customer password | Pelo menos 10 caracteres, letras e dígitos |
| Customer session | 30 dias; sessões de "fazer login como cliente" duram 1 hora |
| E-mail verification | Obrigatório antes de criar uma VM quando *require e-mail verified* estiver ativado nas configurações de vendas |
| Anti-carding | Contas com saldo inferior à recarga mínima só podem criar um número limitado de VMs |

## Server hardening {#server-hardening}

- A porta 3000 é fechada após a configuração e o TLS; consulte [Installation](https://nexcmp.com/pt/docs/getting-started/installation/#the-panel-port-3000).
- O serviço é executado como o usuário não privilegiado `nexcmp` com uma sandbox do systemd restrita.
- Chaves de API, credenciais de pagamento e senhas SMTP são armazenadas de forma criptografada; a chave mestre está em `/var/lib/nexcmp/secrets` — proteja [backups](https://nexcmp.com/pt/docs/getting-started/backup-and-restore/).
- As versões são verificadas com SHA-256 e uma assinatura Ed25519 antes da instalação.