Безопасность и права

Защитите владельца, разделите права и проверьте второй вход до запуска

Что вы получите

Владелец имеет проверенный защищённый доступ и способ восстановления, сотрудники работают под личными учётными записями, а оператор не может случайно менять финансовую конфигурацию.

Откройте безопасность

Перейдите в «Настройки» — «Общие настройки» — «Основные» — «Безопасность».

Текущий раздел включает вкладки «Общее», «Защищённые операции», «CAPTCHA» и «Антиспам заявок». Не включайте все механизмы одновременно: каждое изменение сначала проверяется во второй сессии.

Защитите владельца

1

Оставьте текущую сессию открытой

До изменения входа подготовьте резервный способ восстановления и не закрывайте рабочую вкладку.

2

Подключите Google Authenticator

Настройте персональную двухфакторную авторизацию у владельца, проверьте одноразовый код и сохраните резервные данные в защищённом хранилище.

3

Проверьте почту восстановления

Письмо должно реально приходить владельцу. Нельзя включать зависимую от E-mail защиту, если доставка не доказана.

4

Просмотрите активные сессии

Сверьте устройство, браузер, последнее действие и IP. Если вход незнаком, нажмите «Завершить остальные сессии» и подтвердите действие паролем. Текущая сессия останется активной.

5

Выполните второй вход

В приватном окне пройдите пароль, 2FA и дополнительные подтверждения. Только после успешного входа завершайте старую сессию.

Персональная настройка 2FA и глобальное требование 2FA для администраторов — разные уровни. Сначала проверьте персональный код у каждого нужного сотрудника, затем включайте общее требование.

Настройте базовую политику

Осознанно задайте:

• срок жизни административной сессии;
• допустимое число неверных паролей;
• продолжительность блокировки;
• правила сброса ключа авторизации;
• защиту после событий смены пароля;
• подтверждение критичных операций.

Не копируйте числовые примеры из чужого проекта. Значения зависят от смен, аварийного доступа и политики компании; после настройки обязательно проверьте блокировку и восстановление на отдельной учётной записи.

Не заблокируйте панель

Адрес панели

При смене постоянного адреса сохраните его в менеджере секретов и проверьте новый вход до закрытия текущей сессии.

Постоянный адрес панели и персональная ссылка после входа — разные механизмы.

Доступ по IP

Добавьте текущий внешний адрес и резервную утверждённую сеть до включения ограничения. Динамический IP, VPN или мобильная сеть могут оставить сотрудника без доступа.

Доверенные прокси

Выбирайте Cloudflare или другой профиль только если трафик действительно проходит через него, а прямой доступ к серверу закрыт. Не включайте доверие ко всем прокси-заголовкам без сетевого ограничения.

CAPTCHA и антиспам

Начните с мягкого или среднего режима и контрольной заявки. Слишком строгие правила могут блокировать реальных клиентов; слишком мягкие — не сдерживать автоматические повторы.

Проверьте независимые входы панели и клиента

Административная панель и клиентский кабинет хранят свои состояния входа независимо. Это позволяет работать в панели и одновременно проверять клиентский путь без случайной замены одной сессии другой.

Используйте только принадлежащие вам контрольные учётные записи.

1

Откройте панель владельца

Войдите обычным способом, включая 2FA и защищённый адрес панели. Оставьте карточку профиля доступной для проверки текущего пользователя.

2

Откройте клиентский кабинет

В другой вкладке или браузере войдите в контрольный клиентский аккаунт. Переход между сайтами не должен заменить владельца панели клиентом или наоборот.

3

Проверьте «Запомнить меня»

Включите запоминание только на доверенном устройстве, закройте обычную сессию браузера и откройте сайт заново. Каждая поверхность должна восстановить своего пользователя, а не последнюю учётную запись из соседнего входа.

4

Выполните явный выход

Выйдите из клиентского кабинета и убедитесь, что его запомненный вход полностью завершён. Активная панель не должна самопроизвольно сменить пользователя. Затем отдельно проверьте выход из панели.

5

Проверьте смену аккаунта

Если владелец переключается между разрешёнными административными аккаунтами, клиентская сессия не должна меняться. Защищённые маршруты панели и 2FA продолжают действовать после переключения.

Не выдавайте клиенту административную учётную запись и не используйте общий аккаунт команды. Независимые сессии устраняют конфликт браузера, но не отменяют разделение ролей и личную ответственность.

Разделите права

Откройте «Пользователи» — «Список групп пользователей».

Группа	Минимальное назначение
Главные администраторы	Владелец, безопасность, пользователи и критические решения
Рабочий администратор	Утверждённые настройки обмена и контента
Оператор	Заявки, чат и разрешённые рабочие действия

Используйте защищённую системную группу «Главные администраторы» только для владельцев. Обычная группа с таким же названием не получает её системных свойств.

Оператору обычно не нужны права на безопасность, пользователей, курсы, резервы, реквизиты, мерчанты и экспорт. Выдавайте каждое критическое право по рабочей необходимости и проверяйте результат входом под отдельной операторской учётной записью.

Отдельно распределите права новых критических контуров:

Контур	Разделение доступа
GeoIP	Право настройки GeoIP только у сотрудника, который управляет провайдерами, ключами и базами
Службы	Просмотр состояния можно дать наблюдателю; запуск, остановка и перезапуск — только роли управления
Обновления	Просмотр плана и истории отделяется от загрузки, запуска, отката и удаления релиза
Плагины	Просмотр, запуск, управление, миграции и релизы/удаление разделяются на пять прав
Пользовательский онлайн-чат	Изменение и включение исполняемого кода выдаётся отдельной доверенной роли; обычный оператор этого права не получает
Мерчанты и автовыплаты	Просмотр скрытых полей отделяется от их изменения, а создание, связи и выплаты относятся к защищённым операциям

Глобальный режим чтения должен скрывать действия служб и обновлений, а сервер — отклонять их даже при ручном запросе. Оператору эти критические права обычно не нужны.

Защитите секреты интеграций

Для соединений мерчантов и автовыплат настройте отдельный временный доступ к скрытым полям.

1

Разделите просмотр и изменение

Сотрудник, который наблюдает состояние мерчанта, не обязан видеть API secret. Право просмотра скрытого соединения и право его изменения назначаются отдельно.

2

Установите код защищённой области

Создайте отдельный 6-значный код для зоны мерчантов и выплат и храните его вне браузера. Сам код не заменяет личный вход, 2FA и подтверждение критической операции.

3

Проверьте дополнительное подтверждение

Если включено подтверждение через E-mail, Telegram или Google Authenticator, пройдите его под каждой разрешённой ролью. Чужой код и истёкшая временная сессия должны отклоняться.

4

Проверьте журнал

Открытие, изменение соединения, привязка валюты и запуск выплаты должны оставаться привязанными к личной учётной записи и предусмотренному подтверждению.

Секретные поля после повторного открытия могут показывать только признак наличия, а не исходное значение. Не пытайтесь «восстановить» секрет из HTML, лога или API-ответа; при утрате выпустите новый у провайдера и выполните контролируемую замену.

Публичная ссылка на чек заявки также не является полномочием. Просмотр по выбранному режиму, изменение заявки, доступ к приватному файлу и финансовая операция проверяются отдельно.

Не отключайте прежнего владельца и не удаляйте последнего главного администратора, пока новый аккаунт не прошёл отдельный контрольный вход и восстановление.

Проверьте три роли

1. Владелец входит с 2FA и видит безопасность.
2. Рабочий администратор выполняет только утверждённые настройки.
3. Оператор видит заявки и не может изменить резерв, реквизит, курс или защиту.
4. Каждое действие отражается под личной учётной записью.
5. Вход или выход клиента не заменяет активного администратора.
6. Наблюдатель открывает службы и обновления без кнопок изменения.
7. Оператор не может менять GeoIP, устанавливать плагины или запускать обновление.
8. Оператор не может изменить пользовательский код чата или открыть секреты мерчанта.
9. Ответственная роль открывает скрытые поля только после временного подтверждения, а наблюдатель видит состояние без секрета.

Этап завершён, если

• 2FA владельца и резервное восстановление проверены;
• почта защищённых подтверждений доставляется;
• неизвестные сессии завершены;
• текущая сессия сохранилась после проверки «Завершить остальные сессии»;
• второй вход выполнен до закрытия старой сессии;
• административная и клиентская сессии проверены независимо;
• «Запомнить меня» восстановил правильную роль на доверенном устройстве;
• явный выход завершил соответствующий запомненный вход;
• смена административного аккаунта не изменила клиентскую сессию;
• адрес панели, IP и прокси настроены только при реальной необходимости;
• у сотрудников личные учётные записи;
• оператор не имеет критических прав;
• просмотр и управление службами разделены;
• просмотр и выполнение обновлений разделены;
• настройка GeoIP доступна только утверждённой роли;
• пять прав плагинов распределены по рабочей необходимости;
• пользовательский код онлайн-чата доступен только отдельной доверенной роли;
• просмотр и изменение секретных соединений разделены;
• зона мерчантов и выплат защищена отдельным кодом и, если включено, вторым подтверждением;
• публичный просмотр чека не даёт права на изменение, вложения или выплату;
• последний главный администратор защищён от случайного удаления.

Официальные инструкции: Google Authenticator, управление доступом пользователя, группы пользователей, защита адреса панели и доступ по IP.

Теперь примите решение об открытии.