Управление доступом пользователя
Вкладка «Доступ и безопасность» объединяет настройки входа в аккаунт, ограничения по IP-адресам, восстановление пароля, защиту административного входа, Google 2FA, Telegram-подтверждение, доверенные устройства и активные сессии.
Эти параметры управляют доступом к уже существующей учётной записи. Они не назначают пользователю административные права. Доступ в панель управления выдаётся отдельно через группы пользователей.
Где находятся настройки
В панели управления откройте: «Пользователи» — «Список пользователей»
Найдите пользователя по ID, имени, E-mail или другим доступным данным и откройте его редактирование.
В верхней части карточки перейдите во вкладку «Доступ и безопасность».
Перед изменением параметров проверьте имя, E-mail и ID пользователя. Настройки доступа другого аккаунта могут примениться сразу, поэтому важно убедиться, что открыта правильная карточка.
Необходимые права доступа
Права назначаются для группы пользователей.
В панели управления откройте: «Пользователи» — «Список групп пользователей»
Найдите группу, к которой относится сотрудник, и откройте её редактирование.
Для работы с карточками пользователей требуется право «Пользователи».
Дополнительные разрешения выдавайте только для тех действий, которые сотрудник действительно должен выполнять:
«Настройки безопасности пользователей» — изменение персональных IP-адресов, подтверждения входа, восстановления пароля, доверенных устройств и способа получения кодов;
«API админки» — просмотр и изменение поля «Доступ к API»;
«Смена паролей пользователей» — просмотр поля «Новый пароль» и установка нового пароля;
«Google 2FA пользователей» — подключение и сброс Google 2FA;
«Закрытие сессий пользователей» — использование кнопки «Закрыть все сессии»;
«Telegram-бот безопасности» — управление глобальным ботом безопасности и отключение Telegram-привязок административных аккаунтов.
После изменения прав сохраните группу пользователей.
Права «Настройки безопасности пользователей», «Смена паролей пользователей», «Google 2FA пользователей», «Закрытие сессий пользователей» и «Telegram-бот безопасности» относятся к критичным.
Не выдавайте их обычным операторам.
Для создания собственной Telegram-привязки отдельное право управления ботом не требуется. Администратор должен войти под своей учётной записью и выполнить привязку самостоятельно.
Как сохраняются изменения
В карточке используются разные способы применения настроек.
Изменения через кнопку «Сохранить»
Общей кнопкой «Сохранить» применяются:
«Статус аккаунта»;
«Статус личности»;
«Email-уведомления»;
«Доступ к API»;
«Разрешенные IP адреса»;
«Новый пароль».
Кнопка применяется ко всей карточке пользователя. Если на вкладке «Основное» остались несохранённые изменения, они также могут быть отправлены вместе с параметрами доступа.
Перед нажатием «Сохранить» проверьте значения на обеих верхних вкладках.
Переключение между ними не удаляет введённые данные.
Настройки, которые применяются сразу
Отдельным защищённым действием изменяются:
«Подтверждение входа в админку»;
«Восстановление пароля»;
«Доверенные устройства админки»;
«Способ подтверждения кодов безопасности».
После изменения система применяет настройку сразу либо открывает окно для ввода шестизначного кода.
Нажимать общую кнопку «Сохранить» для таких параметров не требуется.
Если закрыть окно подтверждения, изменение не будет применено.
Статус аккаунта
Параметр «Статус аккаунта» определяет, может ли пользователь выполнять новый вход.
Если статус включён, пользователь сможет войти при одновременном выполнении остальных условий: правильном пароле, отсутствии блокировки, разрешённом IP-адресе и прохождении обязательных проверок безопасности.
Для входа в панель управления дополнительно требуется административная группа с правом входа.
Включённый «Статус аккаунта» сам по себе не предоставляет административный доступ.
Если статус отключён, пользователю запрещается новый вход:
на клиентский сайт;
в панель управления;
через внешний сервис авторизации;
через подключённые административные аккаунты.
Отключение не удаляет пользователя, заявки, баланс, документы, историю верификации, партнёрские начисления, группы, API-токены и доверенные устройства.
Изменение статуса аккаунта
Переключите «Статус аккаунта» и нажмите «Сохранить».
После сохранения нажмите «Обновить» и проверьте состояние.
Если доступ отключается полностью, дополнительно закройте действующие сессии и отключите «Доступ к API».
«Статус аккаунта» и «Доступ к API» работают независимо.
Отключение аккаунта не следует считать автоматическим отзывом API-доступа.
Административная сессия отключённого пользователя будет отклонена при следующей проверке доступа. Для немедленного завершения используйте «Закрыть все сессии».
Не отключайте собственный аккаунт, если нет другого проверенного главного администратора.
Когда не нужно отключать аккаунт
Если необходимо запретить только создание новых обменов, но сохранить доступ к профилю и истории, измените «Создание новых заявок» на вкладке «Основное».
Если требуется сохранить причину, сообщение пользователю и срок ограничения, используйте действие «Заблокировать».
Если нужно запретить только обращения через API, отключите «Доступ к API».
Статус личности
Параметр «Статус личности» является ручной отметкой результата проверки личности.
Доступны состояния:
«Подтверждено»;
«Не подтверждено».
Статус может учитываться при проверке KYC в направлениях обмена, создании заявок, назначении уровней клиентов, работе Бонусного центра и других сценариях, использующих общее состояние личности.
При изменении система обновляет связанные KYC-показатели Бонусного центра и пересчитывает зависимый прогресс. Другие модули учитывают новое значение при следующей проверке своих условий.
Изменение статуса личности
Убедитесь, что фактическая проверка пользователя завершена.
Измените «Статус личности», нажмите «Сохранить» и обновите карточку.
При необходимости проверьте KYC-заявку, уровень клиента и данные Бонусного центра.
Не устанавливайте «Подтверждено» только по просьбе клиента или оператора.
Ошибочная отметка может открыть функции, доступные только верифицированным пользователям.
Email-уведомления
Параметр «Email-уведомления» разрешает отправлять пользователю обычные системные письма, если соответствующий модуль учитывает персональную настройку.
К ним могут относиться сообщения о заявках, изменении статусов, пользовательских операциях и событиях подключённых модулей.
Настройка не включает почтовую отправку для всей системы и не изменяет SMTP.
Если глобальная отправка отключена или настроена неправильно, включение «Email-уведомления» не обеспечит доставку.
Коды безопасности и персональные ссылки управляются отдельными механизмами и не должны отключаться через эту настройку.
Для изменения переключите «Email-уведомления», нажмите «Сохранить» и проверьте результат после обновления карточки.
Доступ к API
Параметр «Доступ к API» разрешает или запрещает работу пользователя с пользовательским REST API и внешними интеграциями.
Поле отображается только сотруднику с правом «API админки».
Если доступ разрешён, пользователь может создавать и использовать API-токены в пределах глобальных ограничений. Сам переключатель не создаёт токен.
Если доступ запрещён, новые и существующие токены не принимаются пользовательским API. Сохранённые записи токенов при этом не удаляются.
Для изменения переключите «Доступ к API», нажмите «Сохранить» и обновите карточку.
При окончательном отзыве дополнительно удалите ненужные токены и проверьте подключённые интеграции.
Для административных аккаунтов API рекомендуется оставлять отключённым, если он не используется владельцем напрямую.
Разрешенные IP адреса
Поле «Разрешенные IP адреса» ограничивает адреса, с которых пользователь может авторизоваться.
Ограничение применяется при входе на клиентский сайт, входе через внешний сервис, входе и работе в панели управления, а также при переключении административных аккаунтов.
Пустое поле означает отсутствие персонального ограничения.
Как применяется проверка
Пустой список разрешает вход с любого IP-адреса.
Если в непустом списке находится некорректная запись, форма не сохранит значение.
Если неправильное устаревшее значение уже находится в системе, проверка действует по безопасному принципу и запрещает вход.
При редактировании собственного аккаунта текущий IP должен входить в новый непустой список.
При редактировании другого пользователя добавлять IP администратора не требуется. Целевой пользователь может работать с других адресов.
Поле «Последний IP» показывает информационное значение и не добавляет адрес в разрешённый список автоматически.
Перед настройкой ограничений проверьте определение реального IP-адреса.
При неправильной конфигурации Cloudflare, обратного прокси или балансировщика система может видеть адрес прокси вместо адреса пользователя.
Глобальное и персональное ограничение
Для входа в панель управления одновременно применяются глобальный список разрешённых административных IP и персональный список пользователя.
Адрес должен соответствовать обоим ограничениям.
Глобальный список панели не заменяет персональное ограничение пользователя.
Безопасная настройка
Подготовьте постоянный адрес владельца, офиса или защищённого VPN.
Сравните текущий IP со значением «Последний IP» и проверьте настройки доверенных прокси.
При необходимости добавьте резервный контролируемый адрес.
Сохраните список и проверьте новый вход в другом браузере или отдельном профиле.
Не завершайте текущую рабочую сессию до успешной проверки.
Не включайте ограничение для мобильного интернета или VPN с непредсказуемыми выходными адресами.
Подтверждение входа в админку
Параметр «Подтверждение входа в админку» требует дополнительный шестизначный код после проверки пароля.
Настройка может отображаться и у обычного пользователя, но начинает влиять на вход после назначения административной группы.
При авторизации система проверяет статус аккаунта, блокировку, IP-адрес и административные права. Затем создаёт одноразовый запрос и предлагает подтвердить вход текущим способом безопасности.
Код может поступить по E-mail, через Telegram или быть получен из Google Authenticator.
Включение и отключение
Переключите «Подтверждение входа в админку».
Получите код способом, выбранным у редактируемого пользователя, введите шесть цифр и нажмите «Подтвердить».
После успешного применения общую кнопку «Сохранить» нажимать не нужно.
Если один администратор изменяет настройку другого пользователя, код получает владелец редактируемого аккаунта.
Безопаснее, чтобы администратор настраивал собственный канал самостоятельно. Не передавайте коды через открытые чаты.
Восстановление пароля
Параметр «Восстановление пароля» управляет публичной функцией «Забыли пароль?».
Если восстановление включено, пользователь может запросить ссылку для сброса пароля при работающей почтовой отправке.
Если настройка отключена, новые ссылки не создаются, а ранее выданные токены удаляются и перестают работать.
Отключение применяется сразу.
Повторное включение для обычного пользователя выполняется без дополнительного подтверждения. Для административного аккаунта потребуется шестизначный код через текущий способ безопасности.
Не отключайте восстановление у главного администратора без рабочего аварийного сценария.
Потеря пароля, E-mail и Google 2FA может потребовать технического восстановления на сервере.
Для безопасного отключения пароль должен храниться в менеджере паролей, почта — контролироваться владельцем, а резервный секрет Google 2FA — находиться в защищённом хранилище.
Доверенные устройства админки
Настройка отображается только у пользователя, имеющего административный доступ.
При включённой функции новый браузер или устройство требуется подтвердить текущим способом безопасности.
Новым считается устройство при использовании другого браузера, другого профиля, приватного окна, после удаления cookies, переустановки браузера, отзыва устройства или окончания срока доверия.
Смена одного IP-адреса не обязательно делает устройство новым. Контроль IP во время сессии настраивается отдельно.
Совместная работа с подтверждением входа
Если одновременно включены «Подтверждение входа в админку» и «Доверенные устройства админки», одна проверка может подтвердить вход и добавить браузер в доверенные.
При следующих входах устройство будет распознаваться, но код продолжит запрашиваться, пока отдельно включено подтверждение каждого входа.
Способ подтверждения кодов безопасности
Параметр отображается только у пользователей с административным доступом.
Доступны:
«Email»;
«Telegram»;
«Google 2FA».
Текущий вариант указывается рядом с кнопками. Недоступный способ отображается отключённым.
Выбранный канал используется при подтверждении входа, нового устройства, изменении настроек безопасности, защищённых операциях и других административных проверках.
Изменение способа
Сначала полностью настройте новый канал.
Выберите «Email», «Telegram» или «Google 2FA».
Система проверит готовность нового способа и запросит код через текущий канал.
Введите шесть цифр и нажмите «Подтвердить».
После применения проверьте строку «Текущий способ».
Новый канал не используется для подтверждения собственной активации. Например, при переходе с Email на Google 2FA код сначала поступит через Email.
Подтверждение через Email
Для работы Email у пользователя должен быть указан правильный почтовый адрес.
В панели управления откройте: «Настройки» — «Общие настройки»
Перейдите в раздел «Уведомления» — «E-mail уведомления».
Проверьте настройки «Отправлять уведомления» и «Отправлять письма».
Отправьте тестовое сообщение и убедитесь, что письмо доставляется.
Обычный переключатель «Email-уведомления» в карточке пользователя не следует использовать для отключения обязательных кодов безопасности.
Подтверждение через Telegram
Telegram-коды отправляются через отдельного бота безопасности. Обычный бот клиентских уведомлений его не заменяет.
В панели управления откройте: «Настройки» — «Общие настройки»
Перейдите в раздел «Уведомления» — «Telegram уведомления».
Создайте или проверьте активный канал с назначением «Коды и подтверждения безопасности».
После этого пользователь должен самостоятельно войти в свою административную учётную запись и открыть собственную карточку.
На вкладке «Доступ и безопасность» нажмите «Создать ссылку Telegram».
Откройте ссылку, запустите бота и подтвердите переданную команду. Если команда не передалась автоматически, отправьте показанное значение вручную.
Вернитесь в панель и нажмите «Проверить привязку».
Убедитесь, что отображается правильный Telegram-аккаунт, затем выберите «Telegram» как способ подтверждения и подтвердите смену через прежний канал.
Ссылка действует 15 минут. После окончания срока создайте новую.
Другой администратор не может выполнить персональную привязку вместо владельца аккаунта.
Для отключения Telegram требуются два кода: из E-mail и из Telegram-бота безопасности.
Если Telegram использовался как основной канал, после отвязки система переключает пользователя на Email.
Подтверждение через Google 2FA
Google 2FA становится доступным после активации Google Authenticator в карточке пользователя.
Нажмите «Google 2FA», отсканируйте QR-код и сохраните текстовый секрет в защищённом резервном хранилище.
Введите текущий шестизначный код и нажмите «Активировать».
После успешной активации вернитесь к «Способ подтверждения кодов безопасности», выберите «Google 2FA» и подтвердите смену через прежний канал.
Коды создаются приложением и не зависят от доставки почты или Telegram.
Правила одноразовых кодов
Для защищённых изменений действуют следующие ограничения:
код состоит из шести цифр;
запрос действует 15 минут;
код связан с пользователем и браузерной сессией, где создан запрос;
подтвердить его в другом браузере нельзя;
новый запрос того же типа закрывает предыдущий незавершённый запрос;
использованный код нельзя применить повторно;
код одного действия не подходит для другого;
после пяти неправильных попыток запрос блокируется на 10 минут;
за 10 минут можно создать не более пяти новых кодов одного типа;
принятый Google-код нельзя повторно использовать для другого административного подтверждения.
Если администратор создаёт запрос для другого пользователя, код доставляется владельцу редактируемого аккаунта.
Новый пароль
Поле «Новый пароль» отображается при наличии права «Смена паролей пользователей».
Если пароль менять не требуется, оставьте поле пустым.
Пароль должен содержать от 12 до 128 символов, минимум одну заглавную и строчную букву, цифру и специальный символ.
Используйте уникальный пароль длиной не менее 16 символов, созданный менеджером паролей.
Изменение пароля
Убедитесь, что выбрана правильная карточка.
Введите новый пароль и передайте его владельцу только защищённым способом.
Нажмите «Сохранить».
После успешного изменения поле очистится.
Затем закройте старые сессии и проверьте новый вход.
Если включена защита административного доступа после событий пароля, при следующем входе пользователь должен будет пройти дополнительную проверку.
Смена пароля не завершает автоматически все сессии и не удаляет доверенные устройства.
Способ входа
Поле «Способ входа» является информационным.
Оно может показывать «Стандартное», название внешнего провайдера или идентификатор связанной внешней учётной записи.
Изменить способ непосредственно в карточке нельзя.
Если пользователь зарегистрирован через внешний сервис, изменение локального пароля не удаляет внешнюю привязку.
Настройки провайдеров находятся в разделе:
«Пользователи» — «Вход через сервисы»
Управление Google 2FA
Диалог Google 2FA можно открыть через кнопку во вкладке «Доступ и безопасность» или через меню «Ещё» — «Google 2FA».
Элемент отображается при наличии права «Google 2FA пользователей».
Владелец аккаунта должен самостоятельно отсканировать QR-код и сохранить резервный секрет отдельно от пароля.
После ввода текущего кода нажмите «Активировать» и убедитесь, что система показывает «Google Authenticator активирован».
Активация не выбирает Google 2FA автоматически как основной способ кодов. При необходимости измените «Способ подтверждения кодов безопасности» отдельно.
Сброс Google 2FA
Для административного аккаунта доступны варианты:
«Сбросить по Google-коду» — используется действующий код приложения;
«Сбросить через email» — код отправляется на E-mail пользователя.
Для пользователя без административного доступа сброс может выполняться сразу уполномоченным администратором.
Если Google 2FA был основным способом подтверждения, после сброса система возвращает вариант «Email».
Перед сбросом проверьте работу почты.
Не отключайте единственный действующий способ подтверждения без подготовленной замены.
Активные сессии
Блок «Активные сессии» показывает веб-сессии пользователя.
Для каждой записи отображаются IP-адрес, операционная система, браузер, User Agent и отметка «Текущее устройство».
В списке могут находиться входы как с клиентского сайта, так и из панели управления. Тип сессии отдельно не подписывается.
Кнопка «Закрыть все сессии» доступна сотруднику с правом «Закрытие сессий пользователей».
При работе с собственной карточкой текущая сессия сохраняется, а остальные завершаются.
При работе с другим пользователем закрываются все его веб-сессии.
Закрытие сессий не удаляет API-токены, доверенные устройства, Telegram-привязку, Google 2FA, группы и права.
Для полного отзыва доступа проверяйте каждый механизм отдельно.
Блокировка пользователя
В меню «Ещё» выберите «Заблокировать».
В форме можно указать:
«Причина блокировки»;
временную или бессрочную блокировку;
дату окончания;
сообщение для пользователя;
внутренний комментарий.
Для сохранения должна быть заполнена причина или внутренний комментарий.
Для временной блокировки необходимо выбрать дату окончания.
Если публичное сообщение не заполнено, пользователь увидит стандартное сообщение о необходимости обратиться в поддержку.
Блокировка запрещает вход на клиентский сайт и в панель управления.
Для полного немедленного отзыва также отключите API и закройте сессии.
Разблокировка пользователя
Если пользователь заблокирован, в меню «Ещё» отображается «Разблокировать».
Разблокировка снимает активное ограничение, но не изменяет «Статус аккаунта», «Доступ к API», разрешённые IP-адреса, группы и восстановление пароля.
После разблокировки проверьте каждый параметр доступа отдельно.
Полное отключение доступа
Для полного отзыва доступа сначала убедитесь, что выбрана правильная карточка.
Если пользователь имеет административный доступ, откройте «Доверенные устройства» и отзовите их до удаления административной группы.
Отключите «Статус аккаунта».
Если поле доступно, установите «Доступ к API» в запрещённое состояние.
Нажмите «Сохранить».
При необходимости создайте блокировку с причиной и сроком.
Нажмите «Закрыть все сессии».
Затем откройте:
«Пользователи» — «Список групп пользователей»
Удалите ненужные административные назначения.
Дополнительно проверьте multi-auth-сессии, персональные ссылки панели, API-токены и внешние интеграции.
{% hint style="warning" %} После удаления административной группы параметры доверенных устройств и способа получения кодов могут исчезнуть из карточки.
Отзывайте устройства до удаления группы. {% endhint %}
Рекомендуемые настройки
Обычный пользователь
Для обычного клиента «Статус аккаунта» должен быть включён, если вход разрешён.
«Статус личности» устанавливайте только по фактическому результату KYC.
«Email-уведомления» настраивайте по политике обменного пункта.
API включайте только при реальной необходимости.
Персональный список IP обычно оставляется пустым.
Восстановление пароля рекомендуется оставить включённым.
Администратор
Для административной учётной записи используйте отдельный рабочий E-mail и уникальный пароль.
Подключите Google 2FA, включите «Подтверждение входа в админку» и «Доверенные устройства админки».
В качестве способа кодов используйте Google 2FA или проверенный Telegram-канал.
Персональное IP-ограничение включайте только при наличии стабильного адреса.
API оставляйте отключённым, если он не используется.
Регулярно проверяйте активные сессии и доверенные устройства.
Главный администратор
Главную учётную запись используйте только для критических настроек.
Храните пароль в менеджере паролей, а резервный секрет Google 2FA — отдельно.
Используйте личную защищённую почту.
Не отключайте восстановление без аварийного сценария.
Не добавляйте главного администратора как дополнительный аккаунт в чужую multi-auth-сессию.
Регулярно проверяйте журнал авторизаций, сессии и устройства.
Проверка после настройки
После изменения обычных полей нажмите «Сохранить» и дождитесь успешного сообщения.
Нажмите «Обновить» и убедитесь, что значения сохранились.
Проверьте пользовательский вход в отдельном браузере, особенно после изменения статуса или IP-адресов.
Для администратора выполните новый вход и убедитесь, что система запрашивает нужный код.
Проверьте выбранный канал: получение E-mail или Telegram-сообщения либо принятие Google-кода.
После подтверждения нового браузера откройте «Доверенные устройства» и найдите текущую запись.
Отзовите тестовое устройство и убедитесь, что при следующем входе снова требуется подтверждение.
Проверьте активные сессии.
Для просмотра истории входов откройте: «Журнал событий» — «Пользователи» — «Лог авторизаций»
Проверьте пользователя, время и IP-адрес выполненных входов.
Если настройки работают не так, как ожидается
Не удаётся найти прежний раздел управления доступом
Откройте верхнюю вкладку «Доступ и безопасность» в карточке пользователя.
В новой версии прежний единый блок разделён на отдельные части.
Кнопка «Сохранить» недоступна
Проверьте обязательные поля пользователя на вкладке «Основное», включая имя и E-mail.
Также убедитесь, что нет незавершённого запроса изменения.
Переключатель безопасности недоступен
Проверьте право «Настройки безопасности пользователей» у текущего администратора.
Код не приходит на E-mail
Проверьте E-mail пользователя, глобальные почтовые переключатели и доставку тестового сообщения.
Telegram недоступен
Проверьте бота безопасности, канал «Коды и подтверждения безопасности» и персональную привязку пользователя.
Нельзя привязать Telegram другому пользователю
Персональную привязку выполняет сам администратор из своей учётной записи.
Финальная проверка
Настройка завершена, если:
открыта карточка нужного пользователя;
«Статус аккаунта» соответствует требуемому доступу;
«Статус личности» установлен по фактическому результату KYC;
E-mail-уведомления настроены осознанно;
API разрешён только тем, кому он требуется;
персональные IP-адреса проверены;
административная группа назначена отдельно;
подтверждение входа работает;
способ получения кодов проверен;
Google 2FA активирован;
резервный секрет сохранён;
доверенные устройства проверены;
неизвестные устройства отозваны;
восстановление пароля настроено с учётом аварийного доступа;
активные сессии проверены;
при полном отзыве отключены аккаунт и API;
сессии закрыты;
доверенные устройства отозваны;
административные группы удалены;
API-токены и внешние интеграции проверены;
результат подтверждён новым входом и данными «Лога авторизаций».
Последнее обновление
Это было полезно?