Account e accesso
Proteggi account, credenziali e accesso al server
Utilizzare i controlli disponibili per password, ripristino e disconnessione e mantenere le credenziali dell'account separate da SSH e dall'accesso al server.
In questa pagina
Prima di iniziare
- Accesso al tuo account o al suo codice di ripristino attuale.
- Un luogo privato per conservare password e materiale di recupero.
- Un registro delle macchine e delle chiavi pubbliche SSH che intendi utilizzare.
Proteggi i due modi per accedere al tuo account
La password ti fa accedere; nome utente e codice di ripristino possono sostituire quella password. Tratta entrambi come segreti con la stessa importanza pratica. Usa una password unica e conserva una copia completa del codice di ripristino in un luogo raggiungibile senza dipendere interamente dal dispositivo usato per l'accesso.
La registrazione standard non raccoglie email o numeri di telefono, quindi la sicurezza dell'account dipende dal mantenere queste credenziali disponibili e private. Non inviare nessuna delle due credenziali tramite Contatti. Una descrizione di supporto dovrebbe contenere il nome utente dell'account, riferimenti pertinenti e il problema, senza informazioni che consentirebbero a un lettore di accedere come te.
Utilizza una semplice procedura di accesso
Le sessioni scadono e possono diventare non valide dopo il ripristino. Se un'azione segnala un errore di verifica della sessione o di aggiornamento, aggiorna prima la pagina dell'account; accedi di nuovo se richiesto. Premere ripetutamente un pulsante di pagamento o di ordine non è un modo utile per riparare l'autenticazione.
- Apri l'indirizzo Tungsto di cui ti fidi e controllalo prima di inserire una password o un codice di recupero.
- Accedi da un dispositivo che controlli. Evita di lasciare un account finanziato aperto in un profilo browser condiviso.
- Controlla il nome utente visualizzato prima di effettuare un ordine, aggiungere saldo o emettere un'azione sul server.
- Usa Esci quando finisci su un dispositivo a cui altre persone possono accedere. Chiudere solo una scheda non equivale a uscire.
- Se una pagina ti chiede di accedere di nuovo, autenticati normalmente e ricarica la pagina prima di ripetere un'azione in sospeso.
Rispondi a una sospetta esposizione dell'account
- Utilizza il recupero account da un dispositivo affidabile con il codice di recupero corrente e una nuova password univoca.
- Salva il codice di recupero sostitutivo. Il recupero riuscito revoca le sessioni dell'account esistenti.
- Controlla il registro per variazioni di saldo impreviste e la pagina Server per assegnazioni o stati imprevisti.
- Rivedi qualsiasi server il cui accesso potrebbe essere stato compromesso. Il recupero dell'account non cambia automaticamente le credenziali del sistema operativo del server.
- Registra i riferimenti pertinenti di account, ordine, registro o azione e invia una richiesta di contatto di sicurezza se hai bisogno dell'assistenza di un operatore.
Mantieni separato l'accesso SSH
La pagina delle chiavi SSH e API accetta una chiave pubblica OpenSSH con un'etichetta. Incolla solo la chiave pubblica, mai la sua controparte privata. Il salvataggio di una chiave pubblica la registra nell'account; il modulo d'ordine accetta separatamente la chiave pubblica da usare per quella distribuzione. Non dare per scontato che una chiave salvata venga installata automaticamente su ogni server attuale o futuro.
Mantieni il controllo della chiave privata sul tuo dispositivo. La pagina dell'account non offre un flusso completo di rimozione della chiave o di audit dell'accesso al server. Rimuovere una chiave autorizzata all'interno del sistema operativo di un server è un'attività amministrativa separata e deve essere eseguita con attenzione per mantenere un modo funzionante di accesso.
Comprendi le credenziali API prima di usarle
L'interfaccia può creare una chiave e mostrare il suo segreto una sola volta, ma l'autenticazione con chiave bearer non è implementata dall'attuale API. Le richieste protette utilizzano la sessione autenticata e le modifiche richiedono anche la verifica della sessione. Non trattare il selettore dell'ambito della chiave come un confine di autorizzazione attivo per l'automazione.
Mantieni private le chiavi segrete anche se questa compatibilità è limitata. Non esiste alcun controllo di revoca delle chiavi nell'interfaccia attuale. Per il lavoro di integrazione, leggi la guida all'autenticazione prima di memorizzare una chiave in uno script o di presumere che garantisca l'accesso. Preferisci verificare il risultato effettivo di un'operazione piuttosto che affidarti solo al messaggio di successo di un pulsante.