保护您的账户、凭据和服务器访问

保护进入账户的两种方式

您的密码用于登录；您的用户名和恢复代码可以替换该密码。将两者视为具有相同实际重要性的机密。使用唯一密码，并将完整的恢复代码副本保存在不依赖登录设备即可访问的地方。

标准注册不收集电子邮件或电话信息，因此账户安全取决于保持这些凭据可用且私密。请勿通过联系表单发送任何凭据。支持描述应包含账户用户名、相关参考和问题，但不应包含可能让读者以您的身份登录的信息。

使用简单的登录流程

会话会过期，并且在恢复后可能失效。如果某个操作报告会话验证或刷新错误，请先刷新账户页面；如有要求请重新登录。反复按付款或订单按钮不是修复身份验证的有效方法。

1. 打开您信任的 Tungsto 地址，并在输入密码或恢复代码之前进行检查。
2. 从您控制的设备登录。避免在共享浏览器配置文件中保持已注资账户的登录状态。
3. 在下订单、添加余额或发出服务器操作之前，请检查显示的用户名。
4. 在他人可访问的设备上完成操作后，请使用“退出登录”。仅关闭标签页并不等同于退出登录。
5. 如果页面要求您重新登录，请正常进行身份验证并重新加载页面，然后再重复待处理的操作。

应对疑似账户泄露

1. 在可信设备上使用当前恢复代码和新的唯一密码进行账户恢复。
2. 保存替换的恢复代码。成功恢复会撤销现有的账户会话。
3. 检查账本中意外的余额变化，以及服务器页面中意外的分配或状态。
4. 检查任何访问可能受到影响的服务器。账户恢复不会自动更改服务器操作系统凭据。
5. 记录相关账户、订单、账本或操作参考，并在需要操作员协助时提交安全联系请求。

将 SSH 访问权限分开

SSH 和 API 密钥页面接受带有标签的 OpenSSH 公钥。仅粘贴公钥，切勿粘贴私钥。保存公钥会将其记录在账户中；订单表单单独接受用于该部署的公钥。不要假设已保存的密钥会自动安装到当前或将来的每台服务器上。

将私钥控制在您自己的设备上。账户页面不提供完整的密钥删除或服务器访问审计流程。在服务器操作系统内删除已授权的密钥是一项单独的管理任务，应谨慎执行，以便您保留可用的进入方式。

使用前了解API凭据

该界面可以创建密钥并显示一次其机密，但当前 API 未实现持有者密钥认证。受保护的请求使用已登录会话，更改还需要会话验证。请勿将密钥范围选择器视为自动化的有效权限边界。

即使这种兼容性有限，也要保持关键机密私密。当前界面中没有密钥撤销控制。在进行集成工作之前，请阅读身份验证指南，然后再将密钥存储在脚本中或假设其授予访问权限。优先审查操作的实际结果，而不是仅依赖按钮的成功消息。