Cont și securitate — autentificare în doi pași și acces de urgență

Panoul Castreon pornește și oprește canale, deci contul de administrator trebuie protejat ca accesul la server. Pe scurt: o parolă lungă, autentificarea în doi pași pornită și codurile de recuperare păstrate în siguranță.

Disponibil din Castreon 1.6.0, în toate planurile.

Parola

• Parolele noi au cel puțin 15 caractere — sau 12, dacă aveți autentificarea în doi pași. Nu se cer cifre sau simboluri: lungimea contează (ca în recomandările NIST din 2025).
• Parolele comune sau apărute în scurgeri de date, numele contului și „castreon” sunt refuzate. Formularul arată pe loc ce lipsește; Schimbă parola devine activ doar cu o parolă bună.
• Parolele existente rămân valabile. Un cont cu o parolă generată de alt administrator (sau resetată din consolă) își alege o parolă nouă la prima autentificare.

Autentificarea în doi pași

Contul meu → Autentificare în doi pași:

1. Scanați codul QR cu aplicația de autentificare (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden …) sau scrieți codul afișat dedesubt. Codul QR se face în browser — secretul nu pleacă nicăieri.
2. Scrieți codul de 6 cifre din aplicație, ca să confirmați că aplicația și serverul sunt de acord.
3. Primiți 10 coduri de recuperare. Salvați-le acum — Descarcă (.txt), copiați-le în managerul de parole sau tipăriți-le — nu pe același telefon. Se arată o singură dată.

La fiecare autentificare vi se cere apoi codul din aplicație. Un cod folosit nu mai merge a doua oară.

Coduri de recuperare

• Dacă nu aveți telefonul la îndemână, scrieți un cod de recuperare în locul codului din aplicație. Fiecare merge o singură dată; după autentificare vedeți câte vă mai rămân.
• Coduri noi (cu parola) face alte 10 — cele vechi nu mai merg.
• Fiecare folosire apare în Audit.

Organizațiile care vor 2FA la toți administratorii îl cer din Setări → Autentificare → Cere 2FA tuturor administratorilor. Pagina arată câți administratori au deja 2FA și pe cine nu; înainte de salvare îi numește încă o dată și cere confirmare. Un administrator fără 2FA vede apoi doar pagina Contul meu până îl pornește; operatorii și utilizatorii cu drept de citire nu sunt atinși. Regula se poate porni doar de pe un cont care are deja 2FA. Tot acolo alegeți durata unei logări (implicit 12 ore, cel mult 720 = 30 de zile), după care panoul cere din nou parola și codul. Prin API: PUT /api/v1/settings cu security.totp_required_for_admins și security.session_hours.

Am pierdut accesul

• Alt administrator vă poate genera o parolă nouă: Utilizatori → rândul dumneavoastră → Generează (parola e temporară — o schimbați la prima autentificare). Pe propriul cont, butonul nu merge: parola proprie se schimbă din Contul meu.
• Ați pierdut telefonul: intrați cu un cod de recuperare, apoi porniți din nou 2FA cu telefonul nou.
• Sunteți singurul administrator (sau nimeni nu mai poate intra): accesul de urgență din consola serverului, ca root:

sudo /opt/castreon/bin/castreon -list-users
sudo /opt/castreon/bin/castreon -reset-password admin

Parola se tastează de două ori, fără să apară pe ecran (sau -generate o generează și o afișează o singură dată). Cu -disable-2fa se oprește și 2FA (telefon și coduri pierdute). Înainte de schimbare se face o copie a bazei de date; sesiunile contului se închid, iar totul apare în Audit („consola serverului”). Dacă pe server rulează mai multe servicii Castreon, alegeți-l cu -config <cale>.

Ultimul administrator activ nu poate fi dezactivat, retrogradat sau șters — panoul nu rămâne niciodată fără cineva care îl poate administra.