---
title: Fazer login como cliente
description: Abra o portal do cliente como um cliente específico por uma hora para reproduzir um problema — condições, proteções e o que é bloqueado e registrado.
url: https://nexcmp.com/pt/docs/customers/login-as/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Fazer login como cliente {#log-in-as-a-customer}

> **Onde no admin:** Customers › Customers › List › a customer › header button **Impersonate** (`/customers/<id>`).

## O que faz {#what-it-does}

**Impersonate** (entrar como) permite que um administrador de suporte veja o portal exatamente como um cliente o vê, para reproduzir um problema ou ajudar com um pedido. A sessão dura uma hora e é claramente separada de uma sessão normal: qualquer coisa que possa dar acesso duradouro à conta é bloqueada, e cada uso é registrado.

## Requisitos {#requirements}

| Item | Requisito |
|---|---|
| Função | Um administrador conectado ao console de administração. |
| Cliente | A conta deve estar **active**. Uma conta bloqueada ou excluída responde "account is not active" (HTTP 409). |
| Motivo | Um motivo é obrigatório; ele é gravado no log de auditoria. |
| Navegador | Permita pop-ups para o endereço do admin: o portal é aberto em uma nova janela. |

## Etapas {#steps}

1. Abra **Customers › List** e clique no cliente.
2. Clique em **Impersonate**. Uma caixa de diálogo explica que o site do cliente é aberto como o cliente por uma hora e que cada ação é auditada.
3. Digite o **reason** (por exemplo, "Ticket 1234 — cannot create VM") e clique em **Open app**.
4. Uma nova janela é aberta no site do cliente e exibe o painel com `?impersonated=1`. Se o navegador bloqueou a janela, permita pop-ups e clique novamente.

![Diálogo Impersonate com o campo de motivo preenchido](https://nexcmp.com/pt/docs/images/customers/login-as-01-dialog.webp)

Para o cliente de um revendedor, a janela é aberta no **domínio do próprio revendedor**, pois o link só funciona no site do próprio cliente.

## Como funciona {#how-it-works}

1. A ação do admin cria um **token de uso único** válido por uma hora e grava `customer.login_as` (administrador, IP, motivo, site) no log de auditoria.
2. A nova janela é aberta `https://<site>/v1/portal/impersonate/<token>`. Uma primeira requisição exibe apenas uma página pequena e **não** consome o token (para que o pré-carregamento do navegador não o consuma); a página então confirma com um POST.
3. O POST consome o token. Um segundo uso, ou o uso após uma hora, responde "The impersonation link has expired or was already used".
4. O NexCMP cria uma sessão de cliente que dura **uma hora** (uma sessão normal dura 30 dias), registra uma entrada de login com o método `impersonate` e registra `customer.login_as.used`.
5. O token funciona apenas no site do próprio cliente; em outro host, ele responde 404.

## O que é bloqueado em uma sessão impersonada {#what-is-blocked-in-an-impersonated-session}

Qualquer coisa que dê acesso além da hora ou altere a segurança do próprio cliente retorna HTTP 403 `impersonate_forbidden`:

| Bloqueado | Motivo |
|---|---|
| Alterar a senha, TOTP, vincular ou desvincular Google/GitHub, editar chaves de segurança | Credenciais do próprio cliente |
| Excluir a conta | Irreversível |
| Criar ou editar **API keys** | Acesso de longa duração |
| Aprovar um login de CLI, desktop ou MCP (vínculo de dispositivo) | Acesso de longa duração |
| Criar acesso Kubernetes, chaves S3, chaves SSH, senhas de root, links de compartilhamento de console, credenciais de VPN ou proxy | Segredos que sobrevivem à sessão |
| Resgatar códigos de recarga | Campanhas de dinheiro |
| Retirar ou alterar o pagamento de comissão de afiliado | O dinheiro sai do sistema |
| Editar chaves de IA, orçamentos ou e-mails de alerta | Configuração do cliente |

Todo o resto funciona: você pode ler as páginas, criar ou gerenciar VMs, fazer pedidos e assim por diante. As ações são executadas com a identidade do cliente e gastam o dinheiro do cliente; os registros de auditoria acima mostram que um administrador estava por trás da sessão.

## Verificar {#verify}

1. Impersonate um cliente de teste. O portal é aberto e exibe os dados desse cliente.
2. Tente alterar a senha: você recebe "forbidden" (impersonation).
3. Em **System › Logs › Admin actions**, localize `customer.login_as` com seu nome, o motivo e o site, seguido por `customer.login_as.used`.
4. Feche a janela, reabra o mesmo link: "link expired or already used".

## Limites e notas {#limits-notes}

- O limite de uma hora é fixo (3600 segundos). Para continuar, impersonate novamente.
- Prefira ler e reproduzir; evite ações que gastem dinheiro, a menos que o cliente tenha pedido.
- Revogue a sessão antecipadamente com **Revoke sessions** na página do cliente (isso desconecta o cliente também).
- Os revendedores têm a própria impersonação **Sign in to partner console** (60 minutos) em Resellers; consulte [Resellers](https://nexcmp.com/pt/docs/customers/resellers/).

## Resolução de problemas {#troubleshooting}

| Sintoma | Causa | Correção |
|---|---|---|
| "A conta não está ativa" | Conta bloqueada ou excluída | Desbloqueie-a primeiro ou visualize a página do cliente. |
| O navegador bloqueia a janela | Bloqueador de pop-up | Permita pop-ups para o endereço do admin e tente novamente. |
| "O link expirou ou já foi usado" | Limite de uma hora ou reutilização | Impersonate novamente. |
| Abre "Not found" | O link foi usado no host errado | Use a janela aberta pela caixa de diálogo; não cole o link em outro lugar. |
| Uma ação diz "forbidden" | Bloqueado em sessões impersonadas | Peça para o cliente fazer isso ou use as telas de administração. |