---
title: ความปลอดภัย
description: ปกป้องคอนโซลผู้ดูแลระบบด้วยการยืนยันตัวตนแบบสองขั้นตอนและรายการอนุญาต IP, จัดการบทบาทผู้ดูแลระบบ และกำหนดค่าการเข้าสู่ระบบของลูกค้า: passkeys, Google และ GitHub, captcha และโดเมนอีเมลที่ถูกบล็อก
url: https://nexcmp.com/th/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# ความปลอดภัย {#security}

> **ตำแหน่งในหน้าผู้ดูแลระบบ:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`)

## คอนโซลผู้ดูแล {#admin-console}

### การยืนยันตัวตนแบบสองขั้นตอน (TOTP) {#two-factor-authentication-totp}

คอนโซลสามารถเข้าถึงได้จากอินเทอร์เน็ต ดังนั้นโปรดเปิดใช้งาน TOTP

1. เปิด **System › Admin › Console security**
2. ภายใต้หัวข้อ **Two-factor authentication (TOTP)** ให้คลิก **Start setup**
3. สแกน QR code ด้วย Google Authenticator, Authy, 1Password หรือ Bitwarden จากนั้นป้อนรหัส 6 หลัก

### ช่วง IP ของคอนโซลที่ได้รับอนุญาต {#allowed-console-ip-ranges}

ภายใต้ **Allowed console IP ranges** ให้ป้อนหนึ่ง IP หรือ CIDR (IPv4 หรือ IPv6) ต่อบรรทัด **หากเว้นว่างไว้จะหมายถึงจากทุกที่** นอกเหนือจากช่วงดังกล่าว ทั้งการเข้าสู่ระบบและ Admin API จะถูกบล็อก

::: warning ระวังการถูกล็อกออกจากระบบ
หน้านี้จะแสดง IP ปัจจุบันของคุณและกำหนดให้รายการใหม่ต้องรวม IP นี้ด้วย ให้ใช้ **+ Add my IP** หากคุณถูกล็อกออกจากระบบ ให้ใช้ [emergency access](https://nexcmp.com/th/docs/getting-started/cli-reference/#emergency-access) จากเซิร์ฟเวอร์
:::

### เปลี่ยนรหัสผ่าน {#change-password}

กรอก **Current password**, **New password** และ **Confirm new password** ใช้รหัสผ่านที่คาดเดายากและไม่ซ้ำใคร (12 ตัวอักษรขึ้นไป ตัวติดตั้งกำหนดให้ผู้ดูแลระบบคนแรกต้องใช้ 12 ตัวอักษร)

### บัญชีผู้ดูแลระบบและบทบาท {#administrator-accounts-and-roles}

เปิด **System › Admin › Admin users** และใช้ **+ Create account**

| บทบาท | สิทธิ์การเข้าถึง |
|---|---|
| `admin` | เข้าถึง Admin API ได้อย่างเต็มรูปแบบ |
| `staff` | ดูได้อย่างเดียวทั่วทั้งระบบ |
| `user` | ดูทรัพยากรของลูกค้ารายเดียวได้แบบอ่านอย่างเดียว |

บัญชี root คือบัญชีที่สร้างขึ้นใน [setup wizard](https://nexcmp.com/th/docs/getting-started/setup-wizard/) การดำเนินการแถว: **Edit**, **Reset PW**, **Key**, **Delete** รหัสผ่านจะถูกจัดเก็บในรูปแบบแฮชที่มี salt การเปลี่ยนแปลงหรือล็อกบัญชีจะสิ้นสุดเซสชันนั้นทันที

## การเข้าสู่ระบบของลูกค้า {#customer-sign-in}

เปิด **System › Settings › Customer logins**

| การตั้งค่า | What it does |
|---|---|
| **Google sign-in** | เปิดใช้งาน จากนั้นป้อน OAuth client ID และ secret คัดลอก **Callback URL** ที่แสดงบนหน้าเว็บไปยัง *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs* ใช้ **Test configuration** |
| **GitHub login** | เช่นเดียวกัน โดยใช้ *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | เข้าสู่ระบบด้วยลายนิ้วมือ PIN หรือฮาร์ดแวร์คีย์ เปิดใช้งานเป็นค่าเริ่มต้น Passkey จะผูกกับโดเมน โดยโดเมนของรี셀เลอร์แต่ละรายจะทำงานแยกกัน ป้อนโดเมนเก่าใน *Legacy passkey Domain* หลังจากการรีแบรนด์เพื่อให้ลูกค้าได้รับคำแนะนำที่มีประโยชน์ |
| **ยืนยันตัวตนอีกครั้งเมื่อเพิ่มวิธีเข้าสู่ระบบ** | ขอรหัสผ่านอีกครั้งก่อนเพิ่ม passkey หรือเชื่อมต่อ Google/GitHub (ปิดใช้งานเป็นค่าเริ่มต้น) |
| **Captcha** | Cloudflare Turnstile หรือ Google reCAPTCHA สำหรับการสมัครใช้งาน: เปิดใช้งาน เลือกผู้ให้บริการ ป้อน site key และ secret key |
| **Block e-mail domains** | หนึ่งโดเมนต่อบรรทัด (สูงสุด 2000) ที่อยู่อีเมลที่ตรงกันจะถูกปฏิเสธเมื่อสมัครใช้งานพร้อมกับ `email_domain_blocked` |

![หน้าเข้าสู่ระบบของลูกค้าที่แสดงการเข้าสู่ระบบด้วย Google พร้อม callback URL](https://nexcmp.com/th/docs/images/administration/security-01-customer-logins.webp)

### นโยบายในตัว {#built-in-policies}

| นโยบาย | ค่า |
|---|---|
| รหัสผ่านลูกค้า | อย่างน้อย 10 ตัวอักษร ประกอบด้วยตัวอักษรและตัวเลข |
| เซสชันลูกค้า | 30 วัน เซสชัน "login as customer" มีอายุ 1 ชั่วโมง |
| การยืนยันอีเมล | จำเป็นต้องทำก่อนสร้าง VM เมื่อเปิดใช้งาน *require e-mail verified* ในการตั้งค่าการขาย |
| การป้องกันการใช้บัตรเครดิตปลอม | บัญชีที่มีเงินเติมต่ำกว่าขั้นต่ำจะสามารถสร้าง VM ได้จำนวนจำกัดเท่านั้น |

## การ hardened เซิร์ฟเวอร์ {#server-hardening}

- พอร์ต 3000 จะถูกปิดหลังจากการติดตั้งและตั้งค่า TLS ดู [Installation](https://nexcmp.com/th/docs/getting-started/installation/#the-panel-port-3000)
- บริการจะทำงานในฐานะผู้ใช้ `nexcmp` ที่ไม่มีสิทธิ์พิเศษ พร้อมระบบ sandboxing ของ systemd ที่ถูกจำกัด
- API keys, ข้อมูลรับรองการชำระเงิน และรหัสผ่าน SMTP จะถูกจัดเก็บแบบเข้ารหัส โดย master key จะอยู่ใน `/var/lib/nexcmp/secrets` — โปรดปกป้อง [backups](https://nexcmp.com/th/docs/getting-started/backup-and-restore/)
- รุ่นที่ปล่อยออกมาจะได้รับการตรวจสอบด้วย SHA-256 และลายเซ็น Ed25519 ก่อนการติดตั้ง