> For the complete documentation index, see [llms.txt](https://docs.iexexchanger.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/nastroika-glavnogo-administratora.md). # Настройка главного администратора Главный администратор — это защищённый системный аккаунт с полным доступом ко всем возможностям iEXExchanger. Он может управлять пользователями, группами, мерчантами, автовыплатами, платёжными реквизитами, настройками безопасности, интеграциями, API, плагинами и другими критичными разделами. Для большинства проектов рекомендуется оставить только одного главного администратора. Этот аккаунт должен принадлежать владельцу обменного сервиса и не использоваться другими сотрудниками. ### Почему доступ нужно защищать Доступ главного администратора необходимо защищать так же строго, как доступ к серверу, банковским счетам, кошелькам и платёжным системам. Компрометация главного аккаунта может привести к следующим последствиям: * изменению платёжных реквизитов; * созданию несанкционированных выплат; * получению доступа к ключам мерчантов и автовыплат; * изменению направлений, курсов и резервов; * выдаче полного доступа другим пользователям; * отключению защитных механизмов; * изменению или удалению системных настроек; * экспорту клиентских и финансовых данных; * установке посторонних плагинов; * блокировке доступа владельца к панели; * потере средств, данных и контроля над проектом. Финансовые потери могут затронуть не только средства обменника, но и деньги клиентов, резервы, подключённые кошельки и балансы в платёжных системах. {% hint style="danger" %} ## **Важно** Никогда не передавайте логин, пароль, доступ к почте, коды Google 2FA, Telegram-коды и персональные ссылки главного администратора сотрудникам, операторам, подрядчикам или техническим специалистам. {% endhint %} *** ## Основное правило В группе **«Главные администраторы»** должен находиться только один пользователь — владелец проекта. Не добавляйте в эту группу: * операторов; * менеджеров; * бухгалтеров; * сотрудников поддержки; * разработчиков; * системных администраторов; * временных сотрудников; * подрядчиков по настройке; * представителей платёжных систем. Для каждого сотрудника создавайте отдельный аккаунт и назначайте группу с минимально необходимыми правами. ## Особенности группы «Главные администраторы» Группа «Главные администраторы» является системной и защищённой.
Система не позволяет: * удалить группу; * создать её системную копию; * изменить её назначение; * выдать её временно; * снять группу с последнего главного администратора. Главный администратор автоматически получает полный доступ к панели управления. Вручную добавлять ему отдельные права не требуется. Для управления главной группой предусмотрены критичные разрешения: * «Изменение главной группы администраторов»; * «Выдача главной группы администраторов». Эти права не следует добавлять в обычные административные группы. *** ## Рекомендуемая модель аккаунтов Для безопасной работы владельцу рекомендуется использовать два отдельных аккаунта. {% stepper %} {% step %} ### Главный аккаунт владельца Главный аккаунт используется только для критичных действий: * управления группами и правами; * изменения настроек безопасности; * подключения мерчантов и автовыплат; * просмотра и изменения секретных параметров; * установки плагинов; * аварийного восстановления управления; * контроля других администраторов. Только этот аккаунт должен состоять в группе «Главные администраторы». {% endstep %} {% step %} ### Рабочий аккаунт владельца Рабочий аккаунт используется для ежедневной работы: * просмотра и обработки заявок; * общения с клиентами; * просмотра аналитики; * контроля резервов; * выполнения стандартных административных задач. Для рабочего аккаунта создаётся отдельная ограниченная группа. Даже если оба аккаунта принадлежат владельцу, главный аккаунт не следует использовать для постоянной работы с заявками и клиентами. Чем реже он используется, тем ниже вероятность случайной утечки или ошибочного критичного действия. {% endstep %} {% endstepper %} ## Создание аккаунта владельца Если у владельца ещё нет аккаунта, он должен самостоятельно зарегистрироваться на основном сайте обменника как обычный пользователь. Для регистрации используйте: * отдельный E-mail, доступный только владельцу; * уникальный пароль; * имя, позволяющее однозначно определить владельца; * устройство, постоянно находящееся под контролем владельца. Не создавайте главный аккаунт на почту: * сотрудника; * разработчика; * установщика; * системного администратора; * компании-подрядчика. После регистрации существующий главный администратор должен открыть: **«Пользователи» — «Список пользователей»** Найдите аккаунт владельца и проверьте: * правильность E-mail; * статус аккаунта; * принадлежность аккаунта владельцу; * возможность входа; * доступ владельца к указанной почте. ## Выдача группы «Главные администраторы» В панели управления откройте: **«Пользователи» — «Группы пользователей»**
Затем выполните следующие действия: 1. Найдите группу **«Главные администраторы»**. 2. Откройте действие **«Выдача пользователям»**. 3. Найдите аккаунт владельца. 4. Выберите его в списке. 5. Не указывайте срок действия. 6. Укажите причину, например: ``` Основной владелец проекта ``` 7. Подтвердите назначение. 8. Попросите владельца выйти из аккаунта и войти заново. 9. Проверьте доступ к пользователям, группам, настройкам и разделам безопасности. Группа «Главные администраторы» не выдаётся временно. ## Безопасная передача управления Если главный доступ передаётся от установщика, разработчика или предыдущего владельца, соблюдайте следующий порядок: 1. Создайте аккаунт нового владельца. 2. Настройте его почту, пароль и Google 2FA. 3. Назначьте ему группу «Главные администраторы». 4. Выполните вход под новым аккаунтом в отдельном браузере. 5. Проверьте способы подтверждения и восстановления. 6. Убедитесь, что доступны пользователи, группы и настройки безопасности. 7. Только после проверки снимите группу со старого администратора. 8. Завершите все активные сессии старого пользователя. 9. Отзовите его доверенные устройства. 10. Закройте его персональные ссылки админки. 11. Удалите пользователя из остальных административных групп. 12. При необходимости заблокируйте старый аккаунт. 13. Проверьте историю выдачи групп. Нельзя сначала удалить последнего главного администратора, а затем назначить нового. Система блокирует удаление последнего пользователя из защищённой группы. ## Удаление лишних главных администраторов После настройки аккаунта владельца откройте группу **«Главные администраторы»** и проверьте назначенных пользователей.
В группе должен остаться только один аккаунт владельца. Для каждого лишнего пользователя: 1. Проверьте, кому принадлежит аккаунт. 2. Снимите группу «Главные администраторы». 3. Удалите другие ненужные административные группы. 4. Завершите активные сессии пользователя. 5. Отзовите доверенные устройства. 6. Закройте персональные ссылки админки. 7. При необходимости заблокируйте аккаунт. 8. Укажите причину отключения. 9. Проверьте историю выдачи групп. Убедитесь, что полный доступ не выдавался неизвестным или временным пользователям. *** ## Защита аккаунта владельца После назначения главного администратора настройте защиту его аккаунта. ### Отдельный E-mail владельца Почтовый аккаунт должен: * принадлежать только владельцу; * иметь уникальный пароль; * использовать двухфакторную авторизацию; * не быть общей корпоративной почтой; * не использоваться операторами; * иметь проверенные способы восстановления; * не быть авторизованным на чужих устройствах. Рекомендуется включить уведомления о новых входах и использовать аппаратный ключ безопасности, если почтовый сервис поддерживает такую возможность. ### Надёжный пароль Пароль главного администратора должен: * быть уникальным; * не использоваться на других сайтах; * содержать не менее 16 символов; * включать буквы разного регистра, цифры и специальные символы; * храниться в надёжном менеджере паролей. Не храните пароль: * в Telegram; * в обычных заметках; * в браузере общего компьютера; * в переписке с разработчиком; * в документах с общим доступом. ### Google Authenticator Для главного администратора рекомендуется обязательно включить Google 2FA. {% content-ref url="/pages/0Z0RWWgQoDPndF0oEuVB" %} [Настройка Google Authenticator](/guide/nachalo-raboty/centr-bezopasnosti/nastroika-google-authenticator.md) {% endcontent-ref %} Сначала откройте: **«Настройки» — «Общие настройки»** Затем перейдите в раздел: **«Основное» — «Безопасность»** Откройте вкладку **«Общее»** и включите параметр: **«Двухфакторная авторизация через Google Authenticator»**
После этого откройте: **«Пользователи» — «Список пользователей»** Выберите аккаунт владельца и перейдите в раздел **«Google 2FA»**.
Подключите Google Authenticator и подтвердите настройку текущим кодом из приложения. Резервный ключ сохраните в зашифрованном или физически защищённом месте. Не храните его рядом с паролем главного администратора. ### Подтверждение входа в админку В панели управления откройте: **«Пользователи» — «Список пользователей»** Выберите владельца и перейдите в раздел **«Доступ к системе»**. Включите параметр: **«Подтверждение входа в админку»**
После ввода правильного пароля система будет запрашивать дополнительный шестизначный код, отправленный на E-mail владельца. ### Доверенные устройства админки В карточке владельца включите: **«Доверенные устройства админки»** При входе с нового устройства система потребует дополнительное подтверждение выбранным способом безопасности. Регулярно проверяйте список доверенных устройств. Отзывайте: * неизвестные устройства; * старые телефоны; * проданные компьютеры; * устройства сотрудников; * браузеры, которые больше не используются. ### Способ подтверждения кодов безопасности В карточке владельца выберите способ подтверждения защищённых действий:
* E-mail; * Telegram-бот безопасности; * Google 2FA. Для главного администратора рекомендуется использовать Google 2FA или отдельный Telegram-бот безопасности. Перед выбором убедитесь, что соответствующий способ настроен и доступен владельцу. ### Восстановление пароля Для максимально защищённого главного аккаунта можно отключить параметр: **«Восстановление пароля»** После отключения сбросить пароль через стандартную публичную форму будет невозможно. Отключайте восстановление только после того, как: * пароль сохранён в менеджере паролей; * проверена работа Google 2FA; * сохранён резервный ключ; * у владельца есть доступ к серверу или техническому восстановлению; * создана актуальная резервная копия; * подготовлен аварийный порядок восстановления. {% hint style="info" %} ## **Важно** Если владелец не имеет технической возможности восстановить доступ, не отключайте стандартное восстановление до подготовки безопасного резервного сценария. {% endhint %} ### Разрешённые IP-адреса аккаунта В карточке пользователя заполните поле: **«Разрешённые IP-адреса»**
Укажите постоянные IP-адреса, с которых владельцу разрешено входить. Не включайте ограничение, если владелец использует: * мобильный интернет; * нестабильный VPN; * часто меняющийся IP; * разные сети без постоянных адресов. Сначала подготовьте резервный способ входа, иначе изменение IP может заблокировать доступ владельца. ## Защита административной панели Основные параметры находятся в настройках безопасности. В панели управления откройте:**«Настройки» — «Общие настройки»** Затем перейдите в раздел: **«Основное» — «Безопасность»**
### Защита от подбора пароля На вкладке **«Общее»** включите: **«Блокировать вход при атаке на пароль»** Рекомендуемые параметры: ``` Попыток до блокировки: 5 Окно подсчёта попыток: 10–15 минут ``` Дополнительно рекомендуется установить: ``` Максимальное количество неверных входов: 5 Блокировка после неверных паролей: не менее 10 минут ``` Не устанавливайте слишком большие лимиты, иначе защита не сможет своевременно остановить подбор пароля. ### CAPTCHA для входа В разделе **«Безопасность»** откройте вкладку **«CAPTCHA»**. {% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/bkg6pTtEjhwMrS0Qyn57" %} [Подключение Google reCaptcha](/help-center/rabota-v-sisteme/integracii/podklyuchenie-google-recaptcha.md) {% endcontent-ref %} Настройте: * использование CAPTCHA; * публичный ключ; * секретный ключ; * применение CAPTCHA при входе в административную панель. После сохранения проверьте страницу входа в отдельном браузере. ### Ограничение входа по IP На вкладке **«Общее»** включите: **«Ограничить вход в админ-панель по IP»** {% content-ref url="/pages/dIuIyDNhBfI8ypz4IEoC" %} [Доступ к панели по IP-адресу](/guide/nachalo-raboty/centr-bezopasnosti/dostup-k-paneli-po-ip-adresu.md) {% endcontent-ref %} Добавьте текущий IP владельца и другие доверенные адреса. {% hint style="info" %} **Важно.** Перед сохранением убедитесь, что текущий внешний IP присутствует в списке. Ошибка может полностью заблокировать вход в панель. {% endhint %} Если сайт работает через Cloudflare или другой прокси-сервис, настройте корректное определение реального IP. Не включайте доверие ко всем прокси без ограничения. ### Контроль изменения IP-адреса Для главного администратора рекомендуется установить высокий уровень: **«Завершать вход и уведомлять»** Если IP изменится во время работы, система: * завершит текущую авторизацию; * отзовёт персональную ссылку; * закроет временные защищённые доступы; * отправит уведомление безопасности. Если владелец использует VPN, его нельзя отключать или переключать во время активной сессии. ### Одна активная сессия Включите параметр: **«Сбрасывать ключ авторизации при каждом входе»** Новая авторизация завершит возможность использования старого ключа. Это снижает риск одновременной работы старых и новых сессий. ### Отображение активных сессий Включите: **«Показывать активные сессии»** Регулярно проверяйте: * активные браузеры; * IP-адреса; * время входа; * устройства; * неизвестные сессии. Если обнаружен неизвестный вход, немедленно завершите его и проверьте безопасность аккаунта. ### Срок жизни сессии Для главного администратора рекомендуется установить срок от 60 до 120 минут. Не устанавливайте чрезмерно длительный срок. Неиспользуемые административные сессии должны завершаться автоматически. ### Постоянный адрес входа {% content-ref url="/pages/uHKEWAv7eV47thogO94I" %} [Защита адреса административной панели](/guide/nachalo-raboty/centr-bezopasnosti/zashita-adresa-administrativnoi-paneli.md) {% endcontent-ref %} Замените стандартный адрес административной панели собственным постоянным адресом. Не используйте очевидные варианты: ``` admin panel backend administrator название-проекта ``` Рекомендуется использовать непредсказуемую комбинацию длиной не менее 12–16 символов. Пример: ``` control-7f29m4x8 ``` Не публикуйте постоянный адрес и не передавайте его пользователям, которым не нужен доступ в панель. ### Персональная ссылка админки Включите: **«Персональная ссылка админки после входа»** Рекомендуемый срок первого открытия: ``` 10–15 минут ``` После ввода пароля и прохождения двухфакторной проверки владелец получит персональную ссылку на E-mail. Ссылку необходимо открыть в том же браузере, где выполнялась авторизация. Регулярно проверяйте список **«Активные уникальные ссылки»** и закрывайте неизвестные входы. *** ## Защищённые операции В разделе **«Безопасность»** откройте вкладку: {% content-ref url="/pages/BWGJfTB82Ju7RSAJhpcl" %} [Защищённые операции](/guide/nachalo-raboty/centr-bezopasnosti/zashishyonnye-operacii.md) {% endcontent-ref %} **«Защищённые операции»** Включите отдельную защиту для: * мерчантов и автовыплат; * платёжных реквизитов. Для каждой зоны: 1. Включите требование кода. 2. Установите случайный шестизначный код. 3. Установите время доступа от 10 до 30 минут. 4. Включите второе подтверждение. 5. При наличии постоянного IP укажите разрешённые адреса. 6. Подтвердите изменение настроек. Коды для мерчантов и платёжных реквизитов должны отличаться. Не используйте простые комбинации: ``` 123456 000000 111111 654321 ``` ## Код подтверждения выплаты {% content-ref url="/pages/yNZkJFTj75eKhN7PptnE" %} [Код подтверждения выплаты](/guide/zayavki/kod-podtverzhdeniya-vyplaty.md) {% endcontent-ref %} Код должен знать только владелец или отдельное доверенное лицо, которому разрешено подтверждать критичные выплаты. Не передавайте его операторам, если подтверждение выплат не входит в их обязанности. ## Подтверждение несколькими администраторами Подтверждение критичных действий требует участия отдельного администратора. Если в проекте используется только один главный администратор и нет второго доверенного аккаунта, не устанавливайте количество подтверждений, которое невозможно получить. Иначе защищённые действия будут заблокированы. Если требуется двойной контроль, создайте отдельный ограниченный аккаунт подтверждающего лица. Для него: * не назначайте группу «Главные администраторы»; * выдайте только право **«Подтверждение критичных действий»**; * не предоставляйте доступ к мерчантам; * не предоставляйте доступ к автовыплатам; * не предоставляйте доступ к реквизитам; * не предоставляйте доступ к настройкам безопасности; * используйте отдельный E-mail; * подключите Google 2FA. В системе останется один главный администратор, но критичные операции смогут подтверждаться независимым аккаунтом безопасности. ## Какие права нельзя выдавать сотрудникам Без отдельной необходимости не выдавайте операторам и менеджерам следующие права: * «Изменение главной группы администраторов»; * «Выдача главной группы администраторов»; * «Создание и изменение групп»; * «Выдача групп пользователям»; * «Выдача важных прав»; * «Настройки безопасности пользователей»; * «Настройки безопасности»; * «Защита мерчантов, выплат и реквизитов»; * «Просмотр закрытых ключей мерчантов»; * «Управление доступом к ключам мерчантов»; * «Просмотр закрытых ключей автовыплат»; * «Управление доступом к ключам автовыплат»; * «Финансовые поля пользователей»; * «Установка плагинов»; * «Управление API»; * «Уникальная ссылка админки». Каждому сотруднику выдавайте только права, необходимые для его текущих обязанностей. ## Проверка после настройки После завершения настройки выполните контрольный вход. 1. Выйдите из главного аккаунта. 2. Откройте постоянный адрес панели. 3. Введите E-mail и пароль. 4. Подтвердите вход кодом из письма. 5. Введите код Google Authenticator. 6. Откройте персональную ссылку из письма. 7. Проверьте вход с разрешённого IP. 8. Выполните некритичную защищённую операцию. 9. Убедитесь, что система запросила отдельный код. 10. Проверьте активные сессии и доверенные устройства. 11. Выполните выход. 12. Убедитесь, что прежняя персональная ссылка больше не работает. Не удаляйте старый главный аккаунт до успешного завершения этой проверки. ## Проверка после передачи проекта Если проект настраивали сторонние специалисты, после получения управления: * удалите их из административных групп; * завершите все их активные сессии; * отзовите доверенные устройства; * закройте персональные ссылки; * смените пароль FastPanel; * смените пароль SSH; * проверьте SSH-ключи; * смените пароль базы данных, если это необходимо; * проверьте доступ к Cloudflare и DNS; * смените пароли почтовых аккаунтов; * замените API-ключи мерчантов и автовыплат, если подрядчик мог их видеть; * проверьте Telegram-ботов; * проверьте установленные плагины; * изучите журнал событий; * создайте новую резервную копию. Защита административного аккаунта не поможет, если посторонний человек сохранил доступ к серверу, домену, почте или платёжным системам. ## Правила ежедневной работы Главный аккаунт нельзя использовать как общий рабочий аккаунт. Владелец должен соблюдать следующие правила: * не передавать доступ другим людям; * не входить с общественных компьютеров; * не использовать открытые Wi-Fi-сети; * не отключать VPN во время активной сессии, если вход привязан к IP VPN; * не сохранять пароль в чужом браузере; * не пересылать коды подтверждения; * не подтверждать неизвестные запросы; * проверять адрес сайта перед вводом данных; * регулярно просматривать журнал событий; * проверять активные сессии и персональные ссылки; * немедленно реагировать на неожиданные письма безопасности. Если владелец получил код или ссылку, которую не запрашивал, это может указывать на попытку входа. ## Действия при подозрении на компрометацию Если есть подозрение на утечку доступа: 1. Немедленно завершите все активные административные сессии. 2. Закройте все персональные ссылки админки. 3. Отзовите доверенные устройства. 4. Смените пароль главного администратора. 5. Переподключите Google Authenticator. 6. Смените пароль почты владельца. 7. Завершите активные сессии почтового аккаунта. 8. Проверьте группы и права пользователей. 9. Проверьте изменения мерчантов и автовыплат. 10. Проверьте платёжные реквизиты. 11. Проверьте выполненные и ожидающие выплаты. 12. Отзовите и замените доступные злоумышленнику API-ключи. 13. Проверьте журнал событий. 14. Проверьте установленные плагины. 15. Проверьте доступ к серверу, FastPanel, SSH, Cloudflare и DNS. 16. При необходимости временно остановите автоматические выплаты. 17. Создайте резервную копию журналов и текущего состояния системы. 18. Обратитесь в техническую поддержку iEXExchanger. Не ограничивайтесь сменой пароля. Если посторонний человек успел добавить собственную группу, устройство, API-ключ или серверный доступ, смена пароля не устранит угрозу. ## Частые ошибки
Несколько пользователей добавлены в группу «Главные администраторы» Оставьте в группе только аккаунт владельца. Для остальных пользователей создайте отдельные ограниченные группы. Перед удалением проверьте активные сессии, доверенные устройства и историю выдачи прав.
Не удаётся снять группу с администратора Скорее всего, это последний пользователь в защищённой группе. Сначала назначьте группу новому владельцу, выполните контрольный вход и только после этого снимайте её со старого администратора.
Владелец потерял доступ после ограничения по IP Текущий IP отсутствует в списке разрешённых адресов или изменился. Подключитесь с разрешённого адреса либо используйте заранее подготовленную процедуру технического восстановления. Не включайте IP-ограничение без резервного способа доступа.
Не приходит код подтверждения Проверьте: * E-mail владельца; * SMTP; * почтовые уведомления; * очередь отправки писем; * папку «Спам»; * подключение Telegram-бота, если используется Telegram.
Код Google Authenticator не принимается Проверьте правильность времени на телефоне и сервере. Используйте текущий код и убедитесь, что выбран правильный аккаунт в приложении. Если доступ утрачен полностью, используйте сохранённый резервный ключ или подготовленную процедуру технического восстановления.
Критичное действие невозможно подтвердить Проверьте количество требуемых подтверждений и доступных администраторов с правом **«Подтверждение критичных действий»**. Инициатор операции не учитывается как подтверждающий администратор.
## Финальный контрольный список Перед началом эксплуатации убедитесь: * [ ] В группе «Главные администраторы» находится только владелец. * [ ] Данные главного аккаунта не передавались другим людям. * [ ] Используется отдельный защищённый E-mail. * [ ] Для почты включена двухфакторная авторизация. * [ ] Установлен уникальный пароль длиной не менее 16 символов. * [ ] Глобальная Google 2FA включена. * [ ] Google 2FA подключена к аккаунту владельца. * [ ] Резервный ключ сохранён отдельно от пароля. * [ ] Подтверждение входа по E-mail включено. * [ ] Доверенные устройства включены и проверены. * [ ] Способ подтверждения кодов безопасности настроен. * [ ] Восстановление пароля отключено или строго контролируется. * [ ] Разрешённые IP-адреса аккаунта настроены или осознанно не используются. * [ ] CAPTCHA для входа в административную панель включена. * [ ] Ограничение входа по IP настроено при наличии постоянного адреса. * [ ] Контроль изменения IP установлен на высокий уровень. * [ ] Ограничение активных сессий включено. * [ ] Отображение активных сессий включено. * [ ] Защита от подбора паролей включена. * [ ] Постоянный адрес входа изменён. * [ ] Персональная ссылка админки включена. * [ ] Мерчанты и автовыплаты защищены отдельным кодом. * [ ] Платёжные реквизиты защищены другим кодом. * [ ] Код подтверждения выплаты настроен. * [ ] Лишние административные аккаунты отключены. * [ ] Старые сессии и устройства отозваны. * [ ] Доступы подрядчиков к серверу и инфраструктуре удалены. * [ ] Создана актуальная резервная копия. * [ ] Выполнен контрольный вход владельца. *** ## Коротко В проекте должен быть только один главный администратор — владелец обменного сервиса. Главный аккаунт нельзя использовать совместно, передавать сотрудникам или применять для обычной операторской работы. Для ежедневных задач владельцу рекомендуется создать отдельный аккаунт с ограниченными правами. Защита главного администратора должна включать отдельную почту, уникальный пароль, Google 2FA, подтверждение входа, контроль устройств и сессий, постоянный адрес, персональную ссылку и отдельные коды для критичных операций. Чем меньше пользователей имеют полный доступ, тем ниже риск утечки, ошибочного изменения настроек, несанкционированных выплат и потери управления проектом. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/nastroika-glavnogo-administratora.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.