Khi một công cụ tự động cần truy cập hosting, cách sai là đưa cho nó mật khẩu tài khoản. Cách đúng là cấp một Login Key: một mật khẩu phụ, giới hạn được theo chức năng, theo địa chỉ IP, và có hạn dùng.
1. Vấn đề nó giải quyết
Đưa mật khẩu tài khoản cho một công cụ, hoặc cho một người chỉ cần làm một việc, có ba hệ quả:
| Hệ quả | Vì sao |
|---|---|
| Công cụ đó làm được mọi thứ | Mật khẩu tài khoản không giới hạn được phạm vi |
| Không tắt riêng được | Muốn thu hồi thì phải đổi mật khẩu, và mọi thứ khác dùng mật khẩu đó cũng dừng theo |
| Không bật được xác thực hai bước | Công cụ không nhập mã sáu chữ số được |
Hàng cuối là hệ quả nặng nhất: để một công cụ chạy được, nhiều người tắt luôn xác thực hai bước của cả tài khoản.
Login Key giải quyết cả ba.
2. Đường vào
Advanced Features → Login Keys.
Trang có hai thẻ:
| Thẻ | Dùng cho |
|---|---|
| Login Keys | Mật khẩu phụ, dùng kèm tên đăng nhập bình thường |
| Login URLs | Đường dẫn đăng nhập một lần, không cần gõ gì |
Bảng Login Keys có các cột: Key Name, Allow, Deny, Allowed Networks, Expires, Created, Created By.
3. Tạo một khoá
Bấm CREATE KEY. Các phần cần điền:
| Phần | Nghĩa | Nên đặt thế nào |
|---|---|---|
| Key Name | Tên khoá | Đặt theo việc nó dùng để làm gì, không đặt key1, test |
| Mật khẩu của khoá | Chuỗi dùng thay mật khẩu | Dài và ngẫu nhiên |
| Allow / Deny | Các chức năng khoá này được hoặc không được dùng | Chỉ cho đúng chức năng cần |
| Allowed Networks | Dải địa chỉ IP được dùng khoá | Khai nếu biết IP của công cụ |
| Expires | Ngày hết hạn | Luôn đặt một ngày |
Tên đăng nhập vẫn là tên đăng nhập DirectAdmin bình thường; khoá chỉ thay phần mật khẩu.
⚠️ Khoá được băm một chiều, giống mật khẩu. Ghi chú ngay trên trang nói rõ: quên là không đọc lại được. Nên lưu khoá vào trình quản lý mật khẩu ngay lúc tạo.
4. Ba ô làm nên giá trị của chức năng này
a. Allow / Deny: giới hạn chức năng
Đây là phần quan trọng nhất và cũng hay bị bỏ qua nhất.
Một công cụ chỉ cần tải bản sao lưu về thì chỉ cho nó chức năng liên quan tới sao lưu. Khi đó kể cả khoá bị lộ, kẻ lấy được cũng không tạo thêm hộp thư, không xoá tên miền, không đổi mật khẩu được.
Để trống phần này là cấp một khoá toàn quyền, và như vậy thì nó chỉ hơn mật khẩu ở chỗ có hạn dùng.
b. Allowed Networks: giới hạn nơi gọi tới
Khai dải IP của máy chủ chạy công cụ. Khoá bị lộ mà kẻ lấy được không ngồi ở IP đó thì không dùng được.
Đây là lớp mạnh và rẻ. Chỉ cần công cụ chạy ở một chỗ cố định là khai được.
c. Expires: luôn đặt hạn
Khoá không hạn là khoá sống mãi, kể cả khi công cụ đã ngừng dùng từ lâu và không ai nhớ nó tồn tại.
Đặt hạn theo nhu cầu thật: một đợt di trú thì đặt hai tuần; một công cụ chạy lâu dài thì đặt một năm và ghi lịch nhắc gia hạn.
Khoá hết hạn làm công cụ dừng, và đó là hành vi đúng. Nó buộc phải có người xem lại định kỳ, thay vì để một khoá toàn quyền nằm đó năm này qua năm khác.
5. Login URLs: đường dẫn đăng nhập một lần
Thẻ thứ hai, nút CREATE URL, tạo một địa chỉ mà mở lên là vào thẳng bảng quản trị, không hỏi gì.
Tiện, nhưng cần hiểu rõ: ai có địa chỉ đó là vào được. Nó không hỏi mật khẩu, không hỏi mã hai bước.
| Dùng được | Không nên dùng |
|---|---|
| Cấp quyền xem tạm thời cho một người, có hạn vài giờ | Gửi qua các kênh lưu lại lâu dài |
| Nhúng vào một hệ thống nội bộ đã có xác thực riêng | Đặt trong tài liệu dùng chung |
Luôn đặt hạn ngắn và giới hạn IP cho loại này.
6. Khi nào dùng cái gì
| Tình huống | Dùng |
|---|---|
| Công cụ sao lưu tự động của bên thứ ba | Login Key, giới hạn chức năng sao lưu, khai IP, đặt hạn |
| Hệ thống giám sát gọi vào đọc số liệu | Login Key, chỉ chức năng đọc |
| Một người cần vào xem một lần | Login URL, hạn vài giờ |
| Bên thiết kế website cần tải tệp lên | Không dùng khoá. Tạo một tài khoản FTP phạm vi hẹp |
| Nhân viên cần làm việc thường xuyên | Không dùng khoá. Tài khoản riêng, có xác thực hai bước |
Hai hàng cuối quan trọng: Login Key dành cho máy, không dành cho người. Người thì nên có tài khoản riêng để còn biết ai làm gì.
7. Rà lại định kỳ
Danh sách khoá chỉ dài ra nếu không ai dọn. Mỗi sáu tháng, mở bảng và hỏi từng dòng:
| Câu hỏi | Nếu trả lời không |
|---|---|
| Công cụ dùng khoá này còn chạy không? | Xoá khoá |
| Cột Expires có giá trị không? | Đặt hạn ngay |
| Cột Allowed Networks có giới hạn không? | Khai IP nếu biết |
| Khoá này có bị giới hạn chức năng không? | Thu hẹp lại |
| Có biết ai tạo và để làm gì không? | Cột Created By cho biết ai tạo. Không rõ mục đích thì vô hiệu hoá và chờ xem có gì hỏng |
Cách cuối nghe thô nhưng hiệu quả: vô hiệu hoá rồi chờ. Có thứ hỏng thì biết ngay khoá đó dùng làm gì; không có gì hỏng sau một tháng thì xoá.
8. Khi nghi khoá bị lộ
- Xoá khoá đó ngay. Khoá bị xoá là hết tác dụng, không phải chờ gì.
- Xem thẻ Sessions trong User Profile, đóng các phiên lạ.
- Rà nhật ký xem có thao tác nào bất thường không.
- Tạo khoá mới cho công cụ, lần này có giới hạn chức năng, có giới hạn IP, có hạn dùng.
Xoá khoá không ảnh hưởng tới mật khẩu tài khoản chính và các khoá khác. Đó chính là lý do nên dùng khoá riêng cho từng công cụ thay vì dùng chung một khoá.
9. Khi cần hỗ trợ
Quý Khách hàng không chắc một công cụ cần những chức năng nào để khai vào phần Allow, hãy nhắn qua khung chat ở góc phải màn hình và nói rõ công cụ đó làm gì.
Đừng gửi nội dung khoá qua chat. Đội ngũ kỹ thuật không cần nó, và khoá gửi qua chat thì coi như đã lộ.
