安全性
後台位置： System › Admin › Console security (
/account)、Admin users (/users)；System › Settings › Customer logins (/settings/login)。
管理者控制台
雙因素驗證 (TOTP)
主控台可從網際網路存取，因此請啟用 TOTP。
- 開啟 System › Admin › Console security。
- 在 Two-factor authentication (TOTP) 下點擊 Start setup。
- 使用 Google Authenticator、Authy、1Password 或 Bitwarden 掃描 QR 碼，然後輸入 6 位數代碼。
允許的主控台 IP 範圍
在 Allowed console IP ranges 下每行輸入一個 IP 或 CIDR（IPv4 或 IPv6）。空白表示允許任何來源。 若超出範圍，登入與管理 API 都將遭到封鎖。
請勿將自己鎖在門外
頁面會顯示您目前的 IP，並要求新的清單必須包含它。請使用 + Add my IP。若您仍遭到鎖定，請使用來自伺服器的 emergency access。
變更密碼
填寫 Current password、New password 與 Confirm new password。請使用長且獨特的密碼（12 個字元以上；安裝精靈強制要求第一位管理員使用 12 個字元）。
管理員帳號與角色
開啟 System › Admin › Admin users 並使用 + Create account。
| 角色 | 存取權限 |
|---|---|
admin | 完整存取管理 API |
staff | 全系統唯讀 |
user | 單一客戶資源的唯讀檢視 |
根帳號是在 setup wizard 中建立的帳號。列動作：Edit、Reset PW、Key、Delete。密碼以帶鹽雜湊儲存；變更或鎖定帳號會立即終止其工作階段。
客戶登入
開啟 System › Settings › Customer logins。
| 設定 | 功能 |
|---|---|
| Google sign-in | 啟用後輸入OAuth用戶端ID與密碼。將頁面上顯示的Callback URL複製到Google Cloud Console › APIs & Services › Credentials › OAuth client ID › Authorized redirect URIs中。請使用Test configuration。 |
| GitHub login | 同上，使用GitHub › Settings › Developer settings › OAuth Apps › Authorization callback URL |
| Passkey | 指紋、PIN碼或硬體金鑰登入；預設開啟。Passkeys會繫結至網域；每個經銷商網域皆獨立運作。品牌重塑後，請在Legacy passkey Domain中輸入舊網域，以便客戶獲得實用提示 |
| 新增登入方式時重新驗證 | 新增passkey或連結Google/GitHub之前再次要求輸入密碼（預設關閉） |
| Captcha | 註冊時使用Cloudflare Turnstile或Google reCAPTCHA：啟用、選擇提供商、輸入網站金鑰與密鑰 |
| Block e-mail domains | 每行一個網域（最多2000個）。註冊時若符合位址將遭到拒絕，並顯示email_domain_blocked |
內建原則
| 政策 | 值 |
|---|---|
| 客戶密碼 | 至少10個字元，包含字母與數字 |
| 客戶工作階段 | 30天；「以客戶身分登入」的工作階段持續1小時 |
| 電子郵件驗證 | 當銷售設定中開啟require e-mail verified時，於建立虛擬機器前必填 |
| 防盜刷 | 帳戶餘額低於最低加值金額時，僅能建立有限數量的虛擬機器 |
伺服器強化
- 設定與TLS完成後，連接埠3000將會關閉；請參閱Installation。
- 服務以無特權的
nexcmp使用者身分執行，並具備受限制的systemd沙箱。 - API金鑰、付款憑證與SMTP密碼皆以加密方式儲存；主金鑰位於
/var/lib/nexcmp/secrets中 — 請保護好backups。 - 安裝前會透過SHA-256與Ed25519簽章驗證版本。