Ключи BLACKBOX на вашем сервере

На каждом новом VPS-сервере, заказанном на blackbox.md, в файле /root/.ssh/authorized_keys кроме ваших ключей есть два ключа, которые добавляет BLACKBOX: ключ управления и ключ AI-агента. Их видно в панели app.blackbox.md на странице «Мои серверы» (app.blackbox.md/my-servers, левое меню «Инфраструктура» → «Мои серверы»): в карточке сервера нажмите «Добавить SSH-ключ» — список появится в разделе «Установленные ключи».

Доступно: владельцу аккаунта blackbox.md, который заказал сервер. В карточках с отметкой «Обслуживается» списка ключей нет — по таким серверам напишите нам.

Два ключа вкратце

Приватную часть обоих ключей BLACKBOX хранит в зашифрованном виде вместе с остальными учётными данными сервера. Ни один из них не заменяет ваш ключ: для собственного входа пользуйтесь своим ключом или паролем root.

Как отличить ключи

В панели каждая строка раздела «Установленные ключи» показывает начало отпечатка (например, SHA256:Ab12Cd34Ef56G…), тип ключа и подпись: у ключа управления — «Ключ управления (blackbox.md)», у остальных — комментарий из файла.

На сервере выведите отпечатки всех ключей и сравните их с панелью:

ssh-keygen -lf /root/.ssh/authorized_keys

У ключа агента комментарий начинается с blackbox-agent-, дальше обычно идёт номер заказа, например blackbox-agent-bbx-2026-000123. Комментарий ключа управления проставляется автоматически при создании сервера; узнать этот ключ можно по отпечатку и типу RSA.

Ключ управления

По этому ключу панель подключается к серверу по SSH под root каждый раз, когда вы запускаете действие, которое выполняется на самом сервере:

• «Сбросить пароль»;
• список «Установленные ключи», «Добавить ключ» и «Удалить»;
• «Отключить вход по паролю» и «Включить вход по паролю»;
• шаг «Расширение диска» при апгрейде (Апгрейд сервера: переход на больший тариф);
• команды, которые выполняет AI-ассистент (Выполнение команд на сервере через AI), и установка ключа агента;
• установка агента дополнительной услуги «Мониторинг» (Услуга «Мониторинг»: агент на сервере).

Без него работают «Показать учётные данные», «Перезагрузить», «Остановить», «Запустить», «Переименовать» и удаление сервера кнопкой «Удалить» в карточке.

Удалить ключ управления из панели нельзя: в его строке нет кнопки «Удалить», а AI-ассистент при такой попытке получит ошибку management_key_protected.

Если вы удалили его вручную

Те же ошибки появляются, когда сервер остановлен или не отвечает по SSH, поэтому сначала проверьте это. Из панели ключ заново не установить. Напишите в поддержку, указав номер заказа (BBX-…) и IP-адрес сервера, и мы его восстановим: Как связаться с поддержкой BLACKBOX.

Важно Не удаляйте ключ управления из authorized_keys и не ставьте PermitRootLogin no. Прежде чем менять настройки SSH или файрвола, держите открытой вторую SSH-сессию. Веб- и VNC-консоли для клиентов нет: если панель потеряет связь с сервером, а вы — собственный доступ, помочь сможет только поддержка (Потерян доступ к серверу (пароль или ключ)).

Настройки SSH, которые блокируют ключ управления

Панель подключается к серверу под root, по ключу, через порт 22.

Проверьте действующее значение:

sshd -T | grep -i permitrootlogin

Значения permitrootlogin yes, permitrootlogin prohibit-password и permitrootlogin without-password (та же настройка под старым названием) в порядке. permitrootlogin no блокирует панель. Если для повседневной работы вам нужен отдельный пользователь, создайте его, но оставьте вход root по ключу: Защита нового сервера: чек-лист.

Ключ AI-агента

С этим ключом AI-ассистент (Claude, Cursor и т. д.), которому вы это разрешили, может открыть прямую SSH-сессию, например для rsync или scp. Приватную часть ключа ассистент получает, только когда запрашивает её через MCP инструментом get_server_ssh_access по токену с разрешением «Просматривать пароли/доступы к серверам» (servers:credentials). Подробнее: SSH-доступ и SSH-ключи через AI-ассистента.

• На сервере один ключ агента, общий для всех ваших токенов.
• Команды через AI (run_server_command) его не используют: они идут через ключ управления.
• Функции панели от него не зависят.

Как удалить ключ агента

1. В карточке сервера нажмите «Добавить SSH-ключ».
2. В разделе «Установленные ключи» найдите строку с типом ssh-ed25519 и комментарием blackbox-agent-….
3. Нажмите «Удалить» и подтвердите удаление в окне «Удалить ключ {fp} с этого сервера?» (вместо {fp} будет начало отпечатка).
4. Появится сообщение «Ключ удалён.»

Сам по себе ключ не вернётся. Его установят заново, только если AI-ассистент с токеном, у которого есть разрешение servers:credentials, снова запросит SSH-доступ к серверу, — и это будет тот же самый ключ. Ключ меняется только по запросу get_server_ssh_access с regenerate=true: создаётся новый ключ, а старый удаляется с сервера.

Безопасность Приватная часть ключа агента даёт доступ root, как пароль. Если есть подозрение, что она попала в чужие руки, отзовите затронутые токены, удалите ключ в панели и, если SSH-доступ через AI вам ещё нужен, запросите новый ключ с regenerate=true. Иначе следующий запрос вернёт на сервер старый ключ.

Контроль остаётся за вами

• AI-ассистент может воспользоваться ключами BLACKBOX только через API-токен, который создали вы, и только в пределах разрешений, отмеченных при его создании: Разрешения токенов (scopes).
• Разрешение «Просматривать пароли/доступы к серверам» (servers:credentials) позволяет запросить ключ агента, а «Выполнять любые команды от root на моих серверах» (servers:exec) — выполнять команды через ключ управления. Оба означают доступ root ко всем вашим серверам.
• Отзывайте токены, которыми не пользуетесь: blackbox.md → «Личный кабинет» → «API-токены» → «Отозвать». AI-клиент сразу теряет доступ: API-токены: создание, копирование и отзыв.
• После смены пароля аккаунта blackbox.md все токены, созданные до смены, перестают работать.

Частые вопросы

В разделе «Установленные ключи» есть ключ, который я не добавлял. Что делать? Определите его по подписи и комментарию. «Ключ управления (blackbox.md)» и ключ с комментарием blackbox-agent-… принадлежат BLACKBOX. Если ключ не ваш и не один из этих двух, удалите его кнопкой «Удалить» и напишите в поддержку: Сервер взломан или атакован: что делать.

Может ли команда BLACKBOX зайти на мой сервер? Ключ управления используется для действий, которые вы сами запускаете в панели или через AI-ассистента. Мы не получаем доступ к содержимому вашего приложения и не читаем ваши данные, кроме случаев, когда это нужно для технической поддержки по вашему прямому запросу или когда этого требует закон; тогда, если закон не запрещает, мы предупредим вас заранее (Соглашение об обработке данных (DPA) для компаний). Каждый просмотр учётных данных фиксируется в журнале. По командам через AI мы фиксируем только сам факт запуска — без текста команды и её результата.

Я не пользуюсь AI-ассистентами. Зачем на сервере ключ агента? Он добавляется на каждый новый VPS-сервер, чтобы AI-ассистент мог работать без дополнительной настройки. Без токена с разрешением servers:credentials запросить его из вашего аккаунта невозможно. Ключ можно удалить в любой момент; вернётся он только при новом запросе SSH-доступа через AI. Если сервер не получил этот ключ при создании, он будет создан при первом таком запросе.