Security

Vị trí trong trang quản trị: System › Admin › Console security (/account), Admin users (/users); System › Settings › Customer logins (/settings/login).

Admin console

Xác thực hai yếu tố (TOTP)

Console có thể truy cập từ Internet, vì vậy bạn hãy bật TOTP.

1. Mở System › Admin › Console security.
2. Tại mục Two-factor authentication (TOTP), nhấp vào Start setup.
3. Quét mã QR bằng Google Authenticator, Authy, 1Password hoặc Bitwarden, sau đó nhập mã gồm 6 chữ số.

Dải IP được phép truy cập console

Tại mục Allowed console IP ranges, nhập một IP hoặc CIDR (IPv4 hoặc IPv6) trên mỗi dòng. Để trống nghĩa là cho phép từ mọi nơi. Ngoài dải này, cả đăng nhập và API quản trị đều bị chặn.

Tránh tự khóa quyền truy cập của chính bạn

Trang hiển thị IP hiện tại của bạn và yêu cầu danh sách mới phải bao gồm IP này. Sử dụng + Add my IP. Nếu vẫn bị khóa, bạn hãy dùng truy cập khẩn cấp từ máy chủ.

Đổi mật khẩu

Điền Current password, New password và Confirm new password. Sử dụng mật khẩu dài và duy nhất (từ 12 ký tự trở lên; trình hướng dẫn thiết lập bắt buộc tối thiểu 12 ký tự cho quản trị viên đầu tiên).

Tài khoản và vai trò quản trị viên

Mở System › Admin › Admin users và dùng + Create account.

Role	Quyền truy cập
admin	Toàn quyền truy cập admin API
staff	Chỉ đọc trên toàn bộ hệ thống
user	Quyền chỉ đọc đối với tài nguyên của một khách hàng

Tài khoản root là tài khoản được tạo trong trình hướng dẫn thiết lập. Các thao tác trên hàng: Edit, Reset PW, Key, Delete. Mật khẩu được lưu trữ dưới dạng salted hash; việc đổi mật khẩu hoặc khóa tài khoản sẽ chấm dứt mọi phiên làm việc ngay lập tức.

Đăng nhập của khách hàng

Mở System › Settings › Customer logins.

Cài đặt	Chức năng
Google sign-in	Bật, sau đó nhập OAuth client ID và secret. Sao chép Callback URL hiển thị trên trang vào Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs. Dùng Test configuration.
GitHub login	Tương tự, với GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL
Passkey	Đăng nhập bằng vân tay, PIN hoặc khóa bảo mật phần cứng; bật theo mặc định. Passkey được liên kết với tên miền; mỗi tên miền đại lý hoạt động độc lập. Nhập tên miền cũ vào Legacy passkey Domain sau khi đổi thương hiệu để khách hàng nhận được gợi ý hữu ích
Xác thực lại khi thêm phương thức đăng nhập	Yêu cầu nhập lại mật khẩu trước khi thêm passkey hoặc liên kết Google/GitHub (tắt theo mặc định)
Captcha	Cloudflare Turnstile hoặc Google reCAPTCHA khi đăng ký: bật, chọn nhà cung cấp, nhập site key và secret key
Block e-mail domains	Mỗi tên miền một dòng (tối đa 2000). Các địa chỉ trùng khớp sẽ bị từ chối khi đăng ký với email_domain_blocked

Chính sách tích hợp sẵn

Chính sách	Giá trị
Mật khẩu khách hàng	Tối thiểu 10 ký tự, gồm cả chữ cái và chữ số
Phiên làm việc của khách hàng	30 ngày; phiên "login as customer" kéo dài 1 giờ
Xác thực e-mail	Bắt buộc trước khi tạo VM khi tính năng require e-mail verified được bật trong cài đặt bán hàng
Anti-carding	Tài khoản nạp ít hơn mức tối thiểu chỉ có thể tạo số lượng VM giới hạn

Gia cố bảo mật máy chủ

• Cổng 3000 được đóng sau khi thiết lập và TLS; xem Installation.
• Dịch vụ chạy dưới quyền user không có đặc quyền nexcmp với systemd sandbox bị hạn chế.
• API key, thông tin thanh toán và mật khẩu SMTP được lưu trữ mã hóa; master key nằm trong /var/lib/nexcmp/secrets — hãy bảo vệ backups.
• Các bản phát hành được xác minh bằng SHA-256 và chữ ký Ed25519 trước khi cài đặt.