> For the complete documentation index, see [llms.txt](https://docs.iexexchanger.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/zashita-adresa-administrativnoi-paneli.md). # Защита адреса административной панели В iEXExchanger предусмотрено два связанных способа защиты адреса панели управления: * **«Постоянный адрес входа в админку»** — общий адрес, с которого администраторы начинают авторизацию; * **«Персональная ссылка админки после входа»** — автоматически создаваемый рабочий адрес для конкретного администратора и текущего браузера. Эти функции решают разные задачи. Постоянный адрес скрывает стандартную страницу входа, а персональная ссылка защищает доступ к рабочей части панели после авторизации. Для наиболее строгой защиты рекомендуется использовать обе функции одновременно. ### Где находятся настройки В панели управления откройте: **«Настройки» — «Общие настройки»** Затем перейдите в раздел: **«Основное» — «Безопасность»** Откройте вкладку **«Общее»**.
При использовании стандартного адреса прямой URL страницы выглядит так: ``` https://app.ваш_домен/iexadmin/settings/generals/security ``` Если постоянный адрес уже изменён, вместо `/iexadmin` используется установленное значение. При активной персональной ссылке настройки открываются через индивидуальный URL текущей административной сессии. ### Для чего нужна защита адреса Через настройки безопасности можно: * заменить стандартный адрес входа на собственный; * скрыть страницу авторизации от автоматического поиска; * создать отдельный рабочий адрес для каждого администратора; * привязать рабочий адрес к конкретному браузеру и сессии; * подтверждать вход через ссылку из письма; * просматривать активные персональные ссылки; * отзывать доступ для выбранного администратора или устройства; * настроить резервное получение ссылки через сервер; * выполнить аварийный сброс при потере доступа. ### Как работают две функции | Настройка | До авторизации | После авторизации | | ----------------------------- | -------------------------- | ------------------------ | | Только постоянный адрес | Собственный общий URL | Работа через этот же URL | | Только персональная ссылка | Адрес из `APP_ADMIN_PATH` | Индивидуальный URL | | Включены обе функции | Собственный постоянный URL | Индивидуальный URL | | Персональная ссылка отключена | Постоянный URL | Постоянный URL | Если включены обе функции, вход выполняется следующим образом: 1. Администратор открывает скрытый постоянный адрес. 2. Вводит логин и пароль. 3. Проходит Google 2FA и другие включённые проверки. 4. Получает письмо с персональной ссылкой. 5. Открывает ссылку в том же браузере. 6. Работает в панели через индивидуальный адрес. Изменение постоянного адреса не закрывает уже подтверждённую персональную сессию. Новый постоянный адрес потребуется при следующей авторизации. ### Что эти функции не заменяют Защита адреса административной панели не заменяет: * надёжный пароль; * Google Authenticator; * ограничение входа по IP; * контроль изменения IP-адреса; * подтверждение нового устройства; * защищённые операции; * правильную настройку групп и прав доступа; * контроль активных административных сессий. Постоянный и персональный адреса используются как дополнительные уровни защиты. *** ## Постоянный адрес входа в админку
### Для чего нужен постоянный адрес Постоянный адрес — это общий URL страницы авторизации для всех администраторов. Стандартный адрес может выглядеть так: ``` https://app.example.com/iexadmin ``` Его можно заменить на собственный: ``` https://app.example.com/control-7f29m4x8 ``` После изменения предыдущий адрес перестаёт открывать административную панель. Система также не перенаправляет посетителя со старого адреса на новый. Настройка применяется только к Backend и административной панели на домене: ``` app.ваш_домен ``` Адрес основного клиентского сайта не изменяется. ### Требования к адресу В поле указывается один URL-сегмент без домена и начального символа `/`. Адрес должен соответствовать следующим требованиям: * длина — от 3 до 64 символов; * разрешены строчные латинские буквы; * разрешены цифры; * разрешены дефисы внутри адреса; * первый символ должен быть буквой или цифрой; * последний символ должен быть буквой или цифрой. **Допустимые варианты:** ``` secure-admin control-7f29m4x8 manager-area-93 ``` **Недопустимые варианты:** ``` ab admin_panel панель my/admin -admin admin- ``` Заглавные буквы автоматически преобразуются в строчные. **Нельзя использовать системные адреса:** ``` api frontend frontend-api storage static horizon pulse oauth webhooks callbacks ``` Другие зарезервированные системой значения также не будут приняты. ### Как выбрать постоянный адрес Не используйте очевидные варианты: ``` admin panel backend administrator название-проекта ``` Рекомендуется выбрать непредсказуемую комбинацию длиной не менее 12–16 символов: ``` control-7f29m4x8 ``` Постоянный адрес не является паролем, но его не следует публиковать: * на клиентском сайте; * в открытой документации; * в общедоступных чатах; * на публичных скриншотах; * в общих заметках команды. ### Как изменить постоянный адрес 1. Откройте вкладку **«Общее»** в настройках безопасности. 2. Найдите поле **«Постоянный адрес входа в админку»**. 3. Введите только завершающую часть адреса без домена и начального `/`. 4. Проверьте предварительный URL под полем. 5. Нажмите **«Сохранить»**. 6. Дождитесь автоматического перехода на новый адрес. 7. Проверьте новый URL в другом браузере. 8. Обновите закладки доверенных администраторов. Например, в поле указано: ``` control-7f29m4x8 ``` Итоговый адрес: ``` https://app.example.com/control-7f29m4x8 ``` Система автоматически: * проверяет формат значения; * исключает зарезервированные адреса; * обновляет маршруты; * очищает необходимый кеш; * перенаправляет текущую страницу на новый URL. Изменять конфигурацию Nginx вручную не требуется. **Важно.** Не закрывайте текущую вкладку, пока не убедитесь, что новый адрес работает. Сохраните его в защищённом месте и проверьте вход через другой браузер. ### Что произойдёт со старым адресом После сохранения новый постоянный адрес полностью заменяет предыдущий. Старый адрес: * перестаёт открывать страницу входа; * не перенаправляет на новый URL; * не используется как резервный вход; * может показывать обычную ошибку отсутствующей страницы. Такое поведение не позволяет определить новый адрес через старый. ## Настройка через APP\_ADMIN\_PATH `APP_ADMIN_PATH` — серверный вариант настройки постоянного адреса. Параметр находится в файле `.env` Backend-проекта.
Пример: ```env APP_ADMIN_PATH=iexadmin ``` {% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/MDuqJRjp8L1cHG9i4sRB" %} [Файлы сайта в FastPanel](/help-center/upravlenie-serverom/panel-fastpanel/faily-saita-v-fastpanel.md) {% endcontent-ref %} {% stepper %} {% step %} ### Приоритет адресов Система выбирает постоянный адрес в следующем порядке: 1. значение из поля **«Постоянный адрес входа в админку»** в панели управления; 2. значение `APP_ADMIN_PATH`, если поле в панели пустое; 3. `/iexadmin`, если серверное значение отсутствует или не соответствует требованиям. `APP_ADMIN_PATH` не создаёт второй параллельный адрес. Например, если через панель установлен адрес: ``` control-7f29m4x8 ``` то адрес из `.env` и стандартный `/iexadmin` не будут использоваться для входа. Чтобы снова использовать значение `APP_ADMIN_PATH`, очистите поле **«Постоянный адрес входа в админку»** и сохраните настройки. {% endstep %} {% step %} ### Как изменить APP\_ADMIN\_PATH Откройте файл `.env` Backend-проекта и укажите адрес без начального `/`: ```env APP_ADMIN_PATH=server-control-82 ``` Если поле постоянного адреса в панели управления заполнено, оно продолжит иметь приоритет. Для применения `APP_ADMIN_PATH` сначала очистите поле в панели или выполните аварийный сброс. {% endstep %} {% endstepper %} *** ## Персональная ссылка админки после входа
{% stepper %} {% step %} ### Для чего нужна персональная ссылка Персональная ссылка создаёт отдельный рабочий URL для каждого администратора и каждой браузерной сессии. Пример: ``` https://app.example.com/c/уникальный-идентификатор ``` Администратор не создаёт этот адрес вручную. Система генерирует его после успешного ввода пароля и прохождения включённых проверок безопасности. Постоянный адрес остаётся точкой начала авторизации. После подтверждения рабочая часть панели становится доступна только через персональный URL. {% endstep %} {% step %} ### Что защищает персональная ссылка После включения функции: * постоянный адрес используется для начала авторизации; * рабочая панель открывается по индивидуальному URL; * персональный адрес привязывается к конкретному администратору; * ссылка действует только в исходной браузерной сессии; * ссылка другого администратора не подходит; * ссылка другого устройства не подходит; * после выхода персональный адрес отзывается; * активную ссылку можно закрыть вручную. Если ссылка открыта в другом браузере или на другом устройстве, система показывает обычную ошибку `404` без раскрытия причины отказа. {% endstep %} {% endstepper %} ### Перед включением Убедитесь, что: * у всех администраторов указаны действующие E-mail; * SMTP настроен и проверен; * почтовые уведомления включены; * тестовые письма успешно доставляются; * администраторы имеют доступ к своей почте; * письма не попадают в папку «Спам»; * у владельца проекта есть резервный доступ к серверу. {% content-ref url="/pages/OkKDfMApGsB2m3bvCsHg" %} [Уведомление по E-mail](/guide/uvedomleniya/uvedomlenie-po-e-mail.md) {% endcontent-ref %} Если почтовая доставка не работает и серверный резервный способ отключён, система не позволит включить персональные ссылки. {% hint style="info" %} **Важно.** Не включайте функцию до проверки E-mail каждого администратора. Без доступа к почте пользователь не сможет открыть рабочую панель после авторизации. {% endhint %} ### Как включить персональные ссылки 1. Откройте вкладку **«Общее»** в настройках безопасности. 2. Включите параметр **«Персональная ссылка админки после входа»**. 3. Укажите срок действия ссылки из письма. 4. Нажмите **«Сохранить»**. 5. Выйдите из административной панели. 6. Выполните новый вход. 7. Проверьте получение письма и открытие персонального адреса. После включения текущему администратору может потребоваться повторная авторизация. Персональная ссылка создаётся только после полноценного прохождения входа. ### Срок действия ссылки из письма Параметр **«Сколько действует ссылка из письма, в минутах»** определяет, сколько времени даётся администратору на первое открытие письма. Допустимые значения: | Значение | Время | | ------------ | ---------: | | Минимальное | 1 минута | | Стандартное | 15 минут | | Максимальное | 1440 минут | Для большинства проектов рекомендуется устанавливать от 10 до 15 минут. Указанный срок действует только до первого подтверждения. Например, установлено: ``` Срок действия ссылки: 15 минут ``` Порядок работы: 1. Администратор выполняет вход. 2. Система отправляет письмо. 3. Ссылку необходимо открыть в течение 15 минут. 4. После подтверждения персональный адрес продолжает работать до завершения административной сессии. Работающая панель не закроется через 15 минут, если ссылка уже была подтверждена. ### Как происходит вход 1. Администратор открывает постоянный адрес. 2. Вводит E-mail и пароль. 3. Проходит Google Authenticator и другие включённые проверки. 4. Система создаёт персональную ссылку. 5. На экране появляется сообщение **«Проверьте почту»**. 6. На E-mail отправляется письмо с кнопкой входа. 7. Администратор открывает ссылку в том же браузере. 8. Система проверяет ссылку и браузерную сессию. 9. Открывается рабочая панель по персональному адресу. 10. Исходную вкладку ожидания можно закрыть. Если вход выполнялся на компьютере, открытие письма на телефоне не подтвердит эту сессию. ### Почему нужен тот же браузер Персональная ссылка связана одновременно с: * конкретным администратором; * текущей серверной сессией; * браузером, в котором выполнялся вход; * одноразовым подтверждающим элементом. Ссылка не сработает, если открыть её: * на другом компьютере; * на телефоне вместо компьютера; * в другом браузере; * в отдельном режиме инкогнито; * во встроенном браузере почтового приложения; * после удаления cookies; * после завершения исходной сессии; * под другим административным аккаунтом. Если авторизация выполнялась в Google Chrome на компьютере, письмо нужно открыть в том же экземпляре Google Chrome. Для приватного режима требуется использовать то же приватное окно. Если почтовое приложение открывает ссылки во встроенном браузере, выберите открытие в основном браузере, где выполнялся вход. ### Как хранится персональная ссылка Полный персональный адрес и подтверждающий элемент не хранятся в базе данных в открытом виде. Отдельно защищаются: * уникальная часть рабочего адреса; * подтверждающий элемент из письма; * связь с браузерной сессией. В панели управления полный адрес и подтверждающий элемент не отображаются. Несмотря на это, персональную ссылку необходимо считать секретной информацией. Не пересылайте её другим людям и не сохраняйте в общедоступных местах. ### Когда персональный адрес перестаёт работать Персональный адрес отзывается, если: * администратор вышел из аккаунта; * завершилась административная сессия; * ссылка закрыта вручную; * текущая сессия безопасности отозвана; * выполнено переключение на другой аккаунт; * строгий контроль IP завершил вход; * cookies или данные сессии удалены; * администратор потерял доступ к панели; * персональные ссылки отключены; * выполнен аварийный сброс. Истечение срока письма после успешного подтверждения не завершает активную сессию. Если подтверждённая ссылка отозвана, система не создаёт замену внутри старого входа. Необходимо вернуться на постоянный адрес и авторизоваться заново. ## Активные уникальные ссылки Для просмотра подтверждённых входов найдите параметр **«Активные уникальные ссылки»** и нажмите **«Открыть список»**.
В списке отображаются: * имя администратора; * E-mail; * дата создания; * дата активации; * последняя активность; * IP-адрес; * браузер или устройство; * отметка текущей сессии. Секретный адрес, идентификатор пути и подтверждающий элемент не показываются. Для просмотра и отзыва активных ссылок группе администратора необходимо право: **«Уникальная ссылка админки»** Право позволяет: * просматривать подтверждённые входы; * видеть администратора, IP-адрес и устройство; * отзывать доступ для выбранной сессии. Это критичное разрешение. Его рекомендуется выдавать только владельцу проекта и доверенным администраторам безопасности. ### Как отозвать персональную ссылку 1. Откройте список активных ссылок. 2. Найдите нужного администратора или устройство. 3. Нажмите **«Закрыть»**. 4. Подтвердите действие. После отзыва: * персональный адрес немедленно перестаёт работать; * открытая панель больше не может выполнять запросы; * администратору потребуется заново пройти авторизацию; * восстановить отозванный адрес невозможно. Если администратор отзывает свою текущую ссылку, его собственный доступ к панели также прекращается. Уже загруженная страница может остаться видимой в браузере, но действия внутри неё выполняться не будут. После обновления страницы система потребует новую авторизацию или покажет ошибку `404`. Обычный выход из аккаунта также отзывает текущую персональную ссылку. ## Несколько устройств Каждый браузер и каждое устройство получают отдельную персональную ссылку. Пример: ``` Рабочий компьютер — первая ссылка Ноутбук — вторая ссылка Телефон — третья ссылка ``` Ссылки нельзя переносить между устройствами. Если в системе включено ограничение одной активной административной сессии, новый вход может завершить предыдущую сессию и отозвать связанную с ней персональную ссылку. ## Работа с мультиавторизацией При переключении административного аккаунта: 1. ссылка предыдущего аккаунта отзывается; 2. для выбранного администратора создаётся новая ссылка; 3. письмо отправляется на E-mail нового аккаунта; 4. новый адрес необходимо подтвердить в том же браузере. Один персональный URL не используется одновременно для нескольких административных аккаунтов. ## Серверное получение персональной ссылки Серверное получение используется как временный аварийный способ, если почтовая доставка недоступна. {% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/cCEoFDjTDIufy3NUEakd" %} [Подключение к серверу по SSH](/help-center/upravlenie-serverom/podklyuchenie-k-serveru-po-ssh.md) {% endcontent-ref %} Этот режим: * не обходит пароль; * не обходит Google 2FA; * не отменяет привязку к браузеру; * не создаёт новый вход; * позволяет получить только уже созданную ожидающую ссылку. ### Как включить серверное получение В файле `.env` Backend-проекта укажите: ```env APP_ADMIN_SESSION_PATH_SERVER_FALLBACK_ENABLED=true ``` ### Как получить ожидающую ссылку Сначала администратор должен выполнить обычный вход и пройти настроенные проверки безопасности. После появления экрана ожидания технический специалист может получить ссылку по E-mail: ```bash php artisan admin:session-path-link --email=admin@example.com --latest ``` Или по ID пользователя: ```bash php artisan admin:session-path-link --user-id=1 --latest ``` Команда не создаёт новую ссылку. Она выводит только уже созданную, неподтверждённую и неистёкшую ссылку текущего входа. Полученный URL необходимо открыть в том же браузере, где вводились пароль и код Google 2FA. Серверная копия хранится в зашифрованном виде в закрытой директории Backend. Она удаляется после: * подтверждения; * отзыва; * окончания срока действия. ### Как отключить серверное получение После восстановления почтовой доставки установите: {% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/MDuqJRjp8L1cHG9i4sRB" %} [Файлы сайта в FastPanel](/help-center/upravlenie-serverom/panel-fastpanel/faily-saita-v-fastpanel.md) {% endcontent-ref %} ```env APP_ADMIN_SESSION_PATH_SERVER_FALLBACK_ENABLED=false ``` {% hint style="warning" %} **Важно.** Серверное получение должен использовать только доверенный технический специалист с доступом к Backend. Не оставляйте этот режим включённым без необходимости. {% endhint %} ## Как отключить персональные ссылки 1. Откройте вкладку **«Общее»** в настройках безопасности. 2. Отключите параметр **«Персональная ссылка админки после входа»**. 3. Нажмите **«Сохранить»**. 4. Дождитесь перехода на постоянный адрес. После отключения: * система перестаёт принимать персональные адреса; * текущий персональный путь отзывается; * административная сессия переводится на постоянный адрес; * установленный постоянный адрес не удаляется. ## Как проверить защиту После настройки проверьте оба механизма отдельно. {% stepper %} {% step %} ### Проверка постоянного адреса 1. Сохраните новый постоянный адрес. 2. Убедитесь, что система перенаправила текущую страницу. 3. Откройте новый адрес в другом браузере. 4. Проверьте отображение страницы авторизации. 5. Откройте старый адрес. 6. Убедитесь, что он больше не открывает панель и не перенаправляет на новый URL. {% endstep %} {% step %} ### Проверка персональной ссылки 1. Выйдите из административной панели. 2. Откройте постоянный адрес. 3. Введите E-mail и пароль. 4. Пройдите Google 2FA, если он включён. 5. Убедитесь, что появился экран ожидания. 6. Проверьте получение письма. 7. Откройте ссылку в том же браузере. 8. Убедитесь, что панель открылась по персональному адресу. 9. Найдите текущий вход в списке активных ссылок. 10. Попробуйте открыть письмо в другом браузере. 11. Убедитесь, что система отклонила переход. 12. Отзовите тестовую ссылку и проверьте прекращение доступа. {% endstep %} {% endstepper %} *** ## Частые ошибки
Письмо не приходит Проверьте: * SMTP; * E-mail администратора; * почтовые уведомления; * очередь отправки писем; * журнал уведомлений; * папки «Спам» и «Промоакции»; * адрес отправителя; * пароль почтового приложения. Если включено серверное получение, технический специалист может получить ожидающую ссылку командой.
Персональная ссылка показывает ошибку 404 Возможные причины: * ссылка открыта в другом браузере; * используется другое устройство; * исходная сессия завершена; * срок первого открытия закончился; * ссылка уже отозвана; * открыто старое письмо; * cookies были удалены; * административный аккаунт переключён. Закройте старые вкладки, вернитесь на постоянный адрес и выполните новый вход.
Старый постоянный адрес не работает Это нормальное поведение. Новый постоянный адрес полностью заменяет предыдущий URL и адрес из `APP_ADMIN_PATH`.
APP_ADMIN_PATH не применяется Проверьте: * очищено ли поле постоянного адреса в панели; * изменён ли `.env` именно Backend-проекта; * указано ли значение без начального `/`; * выполнена ли очистка кеша; * пересобраны ли кеши конфигурации и маршрутов.
Подтверждённый персональный адрес перестал работать Возможные причины: * административная сессия завершилась; * ссылка была отозвана; * выполнен выход; * административный аккаунт переключён; * удалены cookies; * функция отключена; * выполнен аварийный сброс. Вернитесь на постоянный адрес и авторизуйтесь заново.
Вход зациклился на экране ожидания Убедитесь, что ссылка открывается: * на том же устройстве; * в том же браузере; * не во встроенном браузере почтового приложения; * до окончания срока; * в той же сессии, где выполнялась авторизация. Если панель уже открылась в новой вкладке, продолжайте работу в ней. Экран ожидания можно закрыть.
## Аварийный сброс Если постоянный адрес забыт или персональные ссылки препятствуют входу, технический специалист может выполнить: {% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/cCEoFDjTDIufy3NUEakd" %} [Подключение к серверу по SSH](/help-center/upravlenie-serverom/podklyuchenie-k-serveru-po-ssh.md) {% endcontent-ref %} ```bash php artisan admin:security-reset --session-path ``` Команда: * удаляет пользовательский постоянный адрес; * возвращает вход к значению `APP_ADMIN_PATH`; * отключает персональные ссылки; * отзывает активные и ожидающие ссылки; * удаляет закрытые серверные файлы подтверждений. После выполнения откройте: ``` https://app.ваш_домен/значение_APP_ADMIN_PATH ``` Если в `.env` не задано допустимое значение `APP_ADMIN_PATH`, используется стандартный адрес: ``` https://app.ваш_домен/iexadmin ``` {% hint style="warning" %} ### **Важно.** Аварийный сброс отключает часть настроенной защиты. После восстановления доступа заново установите постоянный адрес, включите персональные ссылки и проверьте активные административные сессии. {% endhint %} *** ## Рекомендации Для большинства проектов рекомендуется: * использовать постоянный адрес длиной не менее 12–16 символов; * избегать слов `admin`, `panel`, `backend` и названия проекта; * включить персональные ссылки для всех администраторов; * установить срок первого открытия 15 минут; * подключить Google Authenticator; * использовать отдельный E-mail для каждого администратора; * регулярно проверять активные персональные ссылки; * отзывать неизвестные устройства и сессии; * не публиковать постоянный адрес; * не пересылать персональные ссылки; * хранить доступ к серверу и `APP_ADMIN_PATH` только у владельца; * использовать серверное получение только как временный аварийный способ; * не закрывать рабочую вкладку до проверки нового постоянного адреса; * после аварийного сброса сразу восстановить настройки защиты. ## Коротко Постоянный адрес заменяет стандартный URL входа для всех администраторов. Персональная ссылка создаёт отдельный рабочий адрес для конкретного администратора, браузера и серверной сессии. Наиболее защищённый сценарий — использовать собственный постоянный адрес, Google 2FA и персональные ссылки одновременно. До включения проверьте отправку писем, E-mail всех администраторов и резервный доступ к Backend. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/zashita-adresa-administrativnoi-paneli.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.