Рекомендации по безопасности аккаунта

Эти рекомендации помогут защитить аккаунт blackbox.md, панель app.blackbox.md, API-токены и серверы. Настройки безопасности находятся в двух местах: на blackbox.md в разделе «Личный кабинет» (blackbox.md/ru/account) и в панели — в разделах «Безопасность» (app.blackbox.md/security) и «Настройки» (app.blackbox.md/settings). В конце статьи описан порядок действий на случай, если вы подозреваете, что кто-то получил доступ к вашему аккаунту.

Доступно: владельцу аккаунта blackbox.md и серверов, заказанных из этого аккаунта.

Где находятся настройки безопасности

Пароль аккаунта

• Используйте длинный уникальный пароль, который генерирует и хранит менеджер паролей. Минимальные требования: 12 символов и не менее 3 из 4 классов — заглавная буква, строчная буква, цифра, спецсимвол.
• Не используйте этот пароль на других сайтах и в качестве пароля root на серверах.
• Меняйте пароль на blackbox.md («Профиль» → «Изменить пароль»), а не в панели. При каждом нажатии «Открыть панель» панель получает пароль аккаунта, поэтому пароль, изменённый только в панели, будет перезаписан. Подробно: Смена пароля аккаунта.
• Если вы входите через Google или GitLab, ваш аккаунт BLACKBOX защищён ровно настолько, насколько защищён этот аккаунт. Включите в нём двухфакторную аутентификацию.

Двухфакторная аутентификация в панели

1. В панели откройте «Безопасность» (или меню пользователя → «Безопасность и 2FA»).
2. Нажмите «Включить двухфакторную аутентификацию» и выполните шаги из статьи Двухфакторная аутентификация (2FA) в панели.
3. Сохраните 8 кодов восстановления офлайн: на бумаге или в менеджере паролей, но не на том же телефоне, где установлено приложение-аутентификатор. Каждый код действует один раз.

После включения панель запрашивает код при каждом входе, в том числе когда вы открываете её из аккаунта кнопкой «Открыть панель». Если отметить «Запомнить это устройство на 30 дней», панель не будет запрашивать код, когда вы снова откроете её из аккаунта в том же браузере. Ставьте этот флажок только на своём личном компьютере. Если телефон потерян, см. Потеряно устройство для 2FA.

Email аккаунта

• Держите email подтверждённым: в разделе «Безопасность аккаунта» должна стоять отметка «Подтверждён». Без подтверждения панель из аккаунта не откроется. См. Подтверждение адреса email.
• Защитите почтовый ящик надёжным паролем и 2FA у почтового провайдера: на него приходят уведомления об услугах, счетах и серверах.
• Сменить адрес на странице аккаунта нельзя. Если нужен другой адрес, напишите нам.

API-токены

• Выдавайте только нужные разрешения. Три разрешения на чтение отмечены по умолчанию; остальные пять при выборе показывают предупреждение «Внимание: с этим разрешением AI-ассистент сможет …». Кнопка «AI-администратор — полный доступ» отмечает все разрешения: ассистент сможет выполнять любые команды от root, видеть пароли и ключи и тратить средства с баланса.
• Создавайте отдельный токен для каждого AI-клиента или устройства с понятным названием, например «Claude Desktop (ноутбук)». Если ноутбук потерян, достаточно отозвать один токен.
• Храните токен в менеджере паролей или в переменной окружения. Не вставляйте его в код, git-репозитории, скриншоты и переписку.
• Регулярно проверяйте столбец «Последнее использование» (он обновляется с задержкой до минуты). Нажимайте «Отозвать» для неиспользуемых токенов и для тех, которые вы не узнаёте.
• Разрешения токена изменить нельзя. Если нужны другие, создайте новый токен, а старый отзовите.

Подробнее: Безопасность токенов и AI-агентов.

Серверы: SSH-ключи и пароль root

• Входите по SSH-ключу, а не по паролю. Создайте ключ (Создание SSH-ключа (Windows, macOS, Linux)), добавьте его на сервер кнопкой «Добавить SSH-ключ» и проверьте, что можете войти с ним. Затем нажмите «Отключить вход по паролю» — на карточке появится отметка «Только ключ».
• Удаляйте с каждого сервера ключи, которыми больше не пользуетесь: на карточке сервера «Добавить SSH-ключ» → «Установленные ключи» → «Удалить». Если удалить ключ в разделе «SSH-ключи» личного кабинета, с серверов он не исчезнет. Подробно: Добавление и удаление SSH-ключей на сервере.
• Не удаляйте «Ключ управления (blackbox.md)», в том числе вручную из authorized_keys: без него в панели не работают сброс пароля, управление ключами, а также включение и отключение входа по паролю. См. Ключи BLACKBOX на вашем сервере.
• Никому не передавайте пароль root. Для временного доступа, например внешнему администратору, добавьте его публичный ключ, а по окончании работ удалите. Если пароль всё же передавали, сразу после этого сбросьте его кнопкой «Сбросить пароль»: Сброс пароля root.
• Смените и исходный пароль root, полученный при активации сервера, — той же кнопкой «Сбросить пароль».

Внимание Прежде чем отключать вход по паролю или удалять ключи, проверьте в отдельном окне, что входите со своим ключом, и не закрывайте текущую SSH-сессию до конца. Веб-консоли для клиентов нет: если вы потеряете доступ, напишите нам.

Полный список мер для нового сервера: Защита нового сервера: чек-лист.

Что никогда нельзя отправлять

Не отправляйте пароли, API-токены, приватные SSH-ключи и коды восстановления по email, в чатах и тикетах — даже в поддержку BLACKBOX. Чтобы описать проблему с сервером, достаточно номера заказа (BBX-…) и IP-адреса. Публичный ключ (файл .pub) можно отправлять без опасений. Если секрет уже отправлен, сразу смените или отзовите его.

Если вы подозреваете взлом

Действуйте именно в таком порядке:

1. Смените пароль аккаунта: «Личный кабинет» → «Профиль» → «Изменить пароль», введите текущий и новый пароль и нажмите «Сохранить пароль». Появится сообщение «Пароль изменён. Пожалуйста, войдите снова.», и вы автоматически выйдете из аккаунта. Все сессии на blackbox.md завершатся, а все созданные до этого API-токены перестанут работать. Войдите с новым паролем.
2. В разделе «API-токены» нажмите «Отозвать» для каждого токена. Список не показывает, что токены отключены сменой пароля; после отзыва их состояние видно явно. Новые токены создавайте только для тех AI-клиентов, которыми продолжаете пользоваться.
3. Откройте панель кнопкой «Открыть панель», чтобы и она получила новый пароль. Перейдите в «Настройки» → «Сессии» → «Выйти везде» и подтвердите. Завершатся все сессии в панели, а устройства, запомненные для 2FA, будут забыты. Затем снова откройте панель из аккаунта.
4. Для каждого сервера в «Мои серверы» нажмите «Сбросить пароль» и подтвердите. Старый пароль сразу перестанет работать, а новый появится на карточке сервера — сохраните его в менеджере паролей. Если появится reset_failed, пароль не изменился: проверьте, что сервер запущен, и повторите попытку; если ошибка повторяется, напишите нам.
5. Для каждого сервера откройте «Добавить SSH-ключ» → «Установленные ключи» и удалите ключи, которые вы не узнаёте. «Ключ управления (blackbox.md)» не трогайте. Ключ с комментарием blackbox-agent-… использует AI-ассистент для доступа по SSH; его можно удалить, панель от него не зависит (Ключи BLACKBOX на вашем сервере).
6. Напишите на support@blackbox.md или создайте тикет (Создание тикета в поддержку). Опишите, что вы заметили и что уже сделали, — без паролей.

Важно Если вы входите только через Google или GitLab, раздела «Пароль» в аккаунте нет. На шаге 1 смените пароль в аккаунте Google или GitLab и завершите там активные сессии. Уже открытые сессии на blackbox.md завершатся сами не позднее чем через 8 часов. API-токены в этом случае автоматически не отключаются, поэтому на шаге 2 отзовите их все.

Что завершает каждое действие:

Если взломан сам сервер, см. Сервер взломан или атакован: что делать.

Ответственность за аккаунт

Согласно Условиям использования (§3), вы отвечаете за действия в своём аккаунте и за защиту паролей, SSH-ключей, API-токенов и второго фактора аутентификации. Всё, что AI-ассистент делает с вашим токеном, делается от вашего имени. BLACKBOX не несёт ответственности за использование аккаунта третьими лицами, если не доказан взлом его систем.

Частые вопросы

После смены пароля AI-ассистент не подключается. Почему? Смена пароля отключает все API-токены, созданные раньше. Создайте новый токен в разделе «API-токены» и укажите его в настройках AI-клиента.

Как дать доступ коллеге или внешнему администратору? Самостоятельно добавить других пользователей в аккаунт нельзя. Для доступа к серверу добавьте публичный ключ этого человека и удалите его после окончания работ. Не передавайте пароль аккаунта, пароль root или API-токен. Если нужен другой вид доступа, напишите нам.

Я не могу войти в аккаунт. Что делать? См. Забыли пароль от аккаунта и как можно скорее напишите на support@blackbox.md или позвоните по номеру +373 78 003948 (пн–пт, 09:00–18:00 по времени Молдовы).