---
title: Безопасность
description: 2FA, белые списки IP, роли админов и вход клиентов: ключи доступа, Google, GitHub, капча.
url: https://nexcmp.com/ru/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Безопасность {#security}

> **В панели управления:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Панель администратора {#admin-console}

### Двухфакторная аутентификация (TOTP) {#two-factor-authentication-totp}

Консоль доступна из Интернета, поэтому включите TOTP.

1. Перейдите в **System › Admin › Console security**.
2. В блоке **Two-factor authentication (TOTP)** нажмите **Start setup**.
3. Отсканируйте QR-код в Google Authenticator, Authy, 1Password или Bitwarden и введите 6-значный код.

### Разрешенные диапазоны IP для консоли {#allowed-console-ip-ranges}

В блоке **Allowed console IP ranges** укажите по одному IP или CIDR (IPv4 или IPv6) на строку. **Пустое значение разрешает доступ отовсюду.** Вне этого диапазона блокируются и вход, и admin API.

::: warning Не заблокируйте собственный доступ
На странице показан ваш текущий IP-адрес: он обязательно должен входить в новый список. Используйте **+ Add my IP**. Если доступ все же потерян, воспользуйтесь [экстренным доступом](https://nexcmp.com/ru/docs/getting-started/cli-reference/#emergency-access) с сервера.
:::

### Смена пароля {#change-password}

Заполните поля **Current password**, **New password** и **Confirm new password**. Используйте длинный уникальный пароль (от 12 символов; мастер установки требует не менее 12 символов для первого администратора).

### Учетные записи и роли администраторов {#administrator-accounts-and-roles}

Перейдите в **System › Admin › Admin users** и нажмите **+ Create account**.

| Роль | Доступ |
|---|---|
| `admin` | Полный доступ к admin API |
| `staff` | Только чтение во всей системе |
| `user` | Просмотр ресурсов одного клиента только для чтения |

Учетная запись root создается в [мастере первоначальной настройки](https://nexcmp.com/ru/docs/getting-started/setup-wizard/). Действия со строкой: **Edit**, **Reset PW**, **Key**, **Delete**. Пароли хранятся в виде хешей с солью; изменение или блокировка аккаунта сразу завершает его сессии.

## Вход для клиентов {#customer-sign-in}

Перейдите в **System › Settings › Customer logins**.

| Настройка | Назначение |
|---|---|
| **Google sign-in** | Включите, затем укажите OAuth client ID и secret. Скопируйте **Callback URL**, показанный на странице, в раздел *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Нажмите **Test configuration**. |
| **Вход через GitHub** | Аналогично, в разделе *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Вход по отпечатку пальца, PIN-коду или аппаратному ключу; включен по умолчанию. Passkey привязаны к домену; каждый домен реселлера работает независимо. Укажите старый домен в *Legacy passkey Domain* после ребрендинга, чтобы клиенты получили подсказку |
| **Повторная аутентификация при добавлении способов входа** | Запрашивать пароль повторно перед добавлением passkey или привязкой Google/GitHub (по умолчанию выключено) |
| **Captcha** | Cloudflare Turnstile или Google reCAPTCHA при регистрации: включите, выберите провайдера, укажите site key и secret key |
| **Блокировка почтовых доменов** | Один домен на строку (не более 2000). Совпадающие адреса отклоняются при регистрации с ошибкой `email_domain_blocked` |

![Страница «Customer logins» с настройкой входа через Google и callback URL](https://nexcmp.com/ru/docs/images/administration/security-01-customer-logins.webp)

### Встроенные политики {#built-in-policies}

| Политика | Значение |
|---|---|
| Пароль клиента | Не менее 10 символов, буквы и цифры |
| Сессия клиента | 30 дней; сессии «войти как клиент» длятся 1 час |
| Подтверждение e-mail | Обязательно перед созданием VM, если в настройках продаж включен параметр *require e-mail verified* |
| Защита от кардинга | Аккаунты с пополнением меньше минимального могут создавать лишь ограниченное число VM |

## Усиление безопасности сервера {#server-hardening}

- Порт 3000 закрывается после первоначальной настройки и TLS; см. [Установка](https://nexcmp.com/ru/docs/getting-started/installation/#the-panel-port-3000).
- Служба работает от имени непривилегированного пользователя `nexcmp` в изолированном окружении systemd.
- Ключи API, платежные реквизиты и пароли SMTP хранятся в зашифрованном виде; мастер-ключ находится в `/var/lib/nexcmp/secrets` — защищайте [резервные копии](https://nexcmp.com/ru/docs/getting-started/backup-and-restore/).
- Перед установкой релизы проверяются с помощью SHA-256 и подписи Ed25519.