---
title: Security
description: Bảo vệ console admin với 2FA và allowlist IP, quản lý vai trò admin, cấu hình đăng nhập khách: passkey, Google, GitHub, captcha và chặn miền email.
url: https://nexcmp.com/vi/docs/administration/security/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# Security {#security}

> **Vị trí trong trang quản trị:** System › Admin › Console security (`/account`), Admin users (`/users`); System › Settings › Customer logins (`/settings/login`).

## Admin console {#admin-console}

### Xác thực hai yếu tố (TOTP) {#two-factor-authentication-totp}

Console có thể truy cập từ Internet, vì vậy bạn hãy bật TOTP.

1. Mở **System › Admin › Console security**.
2. Tại mục **Two-factor authentication (TOTP)**, nhấp vào **Start setup**.
3. Quét mã QR bằng Google Authenticator, Authy, 1Password hoặc Bitwarden, sau đó nhập mã gồm 6 chữ số.

### Dải IP được phép truy cập console {#allowed-console-ip-ranges}

Tại mục **Allowed console IP ranges**, nhập một IP hoặc CIDR (IPv4 hoặc IPv6) trên mỗi dòng. **Để trống nghĩa là cho phép từ mọi nơi.** Ngoài dải này, cả đăng nhập và API quản trị đều bị chặn.

::: warning Tránh tự khóa quyền truy cập của chính bạn
Trang hiển thị IP hiện tại của bạn và yêu cầu danh sách mới phải bao gồm IP này. Sử dụng **+ Add my IP**. Nếu vẫn bị khóa, bạn hãy dùng [truy cập khẩn cấp](https://nexcmp.com/vi/docs/getting-started/cli-reference/#emergency-access) từ máy chủ.
:::

### Đổi mật khẩu {#change-password}

Điền **Current password**, **New password** và **Confirm new password**. Sử dụng mật khẩu dài và duy nhất (từ 12 ký tự trở lên; trình hướng dẫn thiết lập bắt buộc tối thiểu 12 ký tự cho quản trị viên đầu tiên).

### Tài khoản và vai trò quản trị viên {#administrator-accounts-and-roles}

Mở **System › Admin › Admin users** và dùng **+ Create account**.

| Role | Quyền truy cập |
|---|---|
| `admin` | Toàn quyền truy cập admin API |
| `staff` | Chỉ đọc trên toàn bộ hệ thống |
| `user` | Quyền chỉ đọc đối với tài nguyên của một khách hàng |

Tài khoản root là tài khoản được tạo trong [trình hướng dẫn thiết lập](https://nexcmp.com/vi/docs/getting-started/setup-wizard/). Các thao tác trên hàng: **Edit**, **Reset PW**, **Key**, **Delete**. Mật khẩu được lưu trữ dưới dạng salted hash; việc đổi mật khẩu hoặc khóa tài khoản sẽ chấm dứt mọi phiên làm việc ngay lập tức.

## Đăng nhập của khách hàng {#customer-sign-in}

Mở **System › Settings › Customer logins**.

| Cài đặt | Chức năng |
|---|---|
| **Google sign-in** | Bật, sau đó nhập OAuth client ID và secret. Sao chép **Callback URL** hiển thị trên trang vào *Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs*. Dùng **Test configuration**. |
| **GitHub login** | Tương tự, với *GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL* |
| **Passkey** | Đăng nhập bằng vân tay, PIN hoặc khóa bảo mật phần cứng; bật theo mặc định. Passkey được liên kết với tên miền; mỗi tên miền đại lý hoạt động độc lập. Nhập tên miền cũ vào *Legacy passkey Domain* sau khi đổi thương hiệu để khách hàng nhận được gợi ý hữu ích |
| **Xác thực lại khi thêm phương thức đăng nhập** | Yêu cầu nhập lại mật khẩu trước khi thêm passkey hoặc liên kết Google/GitHub (tắt theo mặc định) |
| **Captcha** | Cloudflare Turnstile hoặc Google reCAPTCHA khi đăng ký: bật, chọn nhà cung cấp, nhập site key và secret key |
| **Block e-mail domains** | Mỗi tên miền một dòng (tối đa 2000). Các địa chỉ trùng khớp sẽ bị từ chối khi đăng ký với `email_domain_blocked` |

![Trang Customer logins hiển thị Google sign-in cùng callback URL](https://nexcmp.com/vi/docs/images/administration/security-01-customer-logins.webp)

### Chính sách tích hợp sẵn {#built-in-policies}

| Chính sách | Giá trị |
|---|---|
| Mật khẩu khách hàng | Tối thiểu 10 ký tự, gồm cả chữ cái và chữ số |
| Phiên làm việc của khách hàng | 30 ngày; phiên "login as customer" kéo dài 1 giờ |
| Xác thực e-mail | Bắt buộc trước khi tạo VM khi tính năng *require e-mail verified* được bật trong cài đặt bán hàng |
| Anti-carding | Tài khoản nạp ít hơn mức tối thiểu chỉ có thể tạo số lượng VM giới hạn |

## Gia cố bảo mật máy chủ {#server-hardening}

- Cổng 3000 được đóng sau khi thiết lập và TLS; xem [Installation](https://nexcmp.com/vi/docs/getting-started/installation/#the-panel-port-3000).
- Dịch vụ chạy dưới quyền user không có đặc quyền `nexcmp` với systemd sandbox bị hạn chế.
- API key, thông tin thanh toán và mật khẩu SMTP được lưu trữ mã hóa; master key nằm trong `/var/lib/nexcmp/secrets` — hãy bảo vệ [backups](https://nexcmp.com/vi/docs/getting-started/backup-and-restore/).
- Các bản phát hành được xác minh bằng SHA-256 và chữ ký Ed25519 trước khi cài đặt.