Политика паролей и защита входа

Эта страница для администраторов. Она описывает правила паролей, которые вы задаёте для организации в разделе Настройки > Общие, защиту от подбора паролей, которая включена всегда, и длительность сессии. Экраны, которые видит сотрудник при действии этих правил, описаны в разделе Вход и выход.

Политика паролей

У политики паролей три поля в разделе Настройки > Общие. Чтобы сохранить их, нужно право на изменение настроек организации.

Политика паролей задаёт минимальную длину, число последних паролей, которые нельзя использовать повторно, и срок действия пароля:

  • Политика паролей: минимальная длина (символов) по умолчанию равна 6 и принимает значения от 6 до 128.

  • Политика паролей: пароли, которые нельзя использовать повторно по умолчанию равна 5 и принимает значения от 1 до 24. В число входит текущий пароль.

  • Политика паролей: срок действия пароля (дней) принимает значения от 1 до 3650 дней. Если оставить пустым, как по умолчанию, пароли не истекают.

Новый пароль проверяется в таком порядке:

  1. Он не пустой.

  2. Его длина не меньше минимальной.

  3. Он не начинается с csd_app_, префикса, зарезервированного для паролей приложений.

  4. Он отличается от текущего пароля и от последних. Эта проверка применяется, только когда новый пароль задаёт учётная запись, у которой уже есть пароль.

Политика применяется везде, где задаётся пароль:

  • сотрудник меняет свой пароль на странице аккаунта;

  • сотрудник задаёт новый пароль по ссылке для сброса;

  • сотрудник выбирает новый пароль, когда старый истёк;

  • администратор выдаёт новому сотруднику начальный пароль.

Уже существующие пароли не проверяются заново, когда вы увеличиваете минимальную длину. Новый минимум применяется, когда пароль в очередной раз задаётся.

Политика проверяет длину и повторное использование пароля и принимает любые символы.

Срок действия пароля

Если задан срок действия пароля, пароль истекает через столько дней после момента, когда он был задан. Срок, который вы позже сократите, применяется и к уже заданным паролям: пароль старше нового срока истекает сразу.

Когда пароль истекает:

  • открытые сессии учётной записи сразу перестают работать, а подключённые приложения получают сообщение, что сотрудник вышел;

  • при следующем входе в веб-интерфейсе или на странице входа OAuth запрашивается новый пароль;

  • вход по LDAP с этим паролем отклоняется так же, как вход с неверным паролем.

Персональные токены доступа, токены OAuth и пароли приложений продолжают работать после истечения пароля.

При следующем входе сотрудник вводит старый пароль и выбирает новый, как описано в разделе Вход и выход. Почтовый клиент, который входит по LDAP с паролем приложения, это не затрагивает, как описано в разделе Токены доступа и пароли приложений.

Сотрудники видят дату в поле Пароль истекает на странице аккаунта, на вкладке Профиль. До этой даты письма не отправляются.

Блокировка при повторных неудачных входах

Каждый способ входа считает неудачные попытки и блокирует подбор. Эта защита включена всегда, и администратору ничего настраивать не нужно.

После нескольких неудачных попыток входа с одним логином с одного адреса вход с этим логином с этого адреса блокируется на несколько минут, а блокировка становится длиннее, пока неудачи продолжаются. Блокировка заканчивается сама, поэтому никому не нужно разблокировать учётную запись, а журнал входов записывает каждую блокировку. Сама учётная запись никогда не блокируется.

Во время блокировки каждый клиент видит обычный отказ:

Клиент Что он видит

Вход через веб

«Слишком много попыток. Повторите через N мин.» Кнопка Войти остаётся неактивной, пока не закончится ожидание.

Клиент LDAP

Ответ, как при неверном пароле.

Клиент OAuth

Ошибка неверного клиента или разрешения с заголовком Retry-After.

Каждая блокировка записывается в журнал входов как Вход заблокирован с пометкой Заблокирован на N мин.

Длительность сессии

Поле Длительность сессии пользователя в разделе Настройки > Общие задаёт, сколько дней длится сессия после входа. По умолчанию — 3 дня, допустимые значения — от 1 до 100.

Длительность абсолютная. Сессия заканчивается через столько дней после входа, как бы активно ни работал сотрудник. Изменение настройки также сдвигает окончание уже открытых сессий.

Когда сессия заканчивается из-за истечения длительности, подключённые приложения об этом не уведомляются. События, которые уведомляют приложения, см. в разделе Выход из всех приложений.

Всегда включено

Вход через веб, сессии, смена и сброс пароля, двухэтапная проверка, лимит попыток и журнал входов входят в каждую организацию. Для них не нужна лицензия, и никакая настройка их не отключает. Кого организация обязывает использовать двухэтапную проверку, определяет политика двухэтапной проверки.

Связанные страницы