Главная / Документация / ДоступПароли и блокировка входаТребования к паролю, блокировка после неудачных входов, смена пароля при первом входе и обязательная двухфакторная аутентификация.Обновлено 29.10.2026Раздел задает требования к паролям локальных учетных записей volrix.pm, правило блокировки при подборе пароля и обязательную двухфакторную аутентификацию. На сотрудников, которые входят через LDAP, Kerberos или OIDC, требования к паролю и блокировка не действуют: их пароли и блокировку проверяет каталог или провайдер. Обязательная двухфакторная аутентификация (ниже) касается локальных и доменных (LDAP) учетных записей.**Где находится:** «Администрирование» → «Доступ» → «Вход в систему», вкладка «Пароли и блокировка». Вкладка открывается при праве «Пользователи - Изменение», а сам пункт «Вход в систему» в меню виден при праве «LDAP / AD - Настройки LDAP / AD». По умолчанию оба права только у администратора системы. Пароли и блокировка: настроить правила входа. Пример экрана настройки.

Пароли и блокировка: настроить правила входа. Пример экрана настройки.

Требования к паролю

Настройка

Значения

По умолчанию

«Минимальная длина»

от 6 до 64 символов

«Хотя бы одна цифра»

включено или выключено

выключено

«Строчная буква»

любая строчная буква, в том числе русская

выключено

«Заглавная буква»

любая заглавная буква, в том числе русская

выключено

«Особый символ»

знак препинания или символ вроде ! @ # $ % & ? - _ ; пробел не считается

выключено

Пароль длиннее 72 байт не принимается - это ограничение способа хранения. Русская буква занимает 2 байта, поэтому пароль из одной кириллицы - не длиннее 36 символов.Распространенные паролиПри любых настройках не принимаются самые частые пароли из открытых списков утечек - 123456, qwerty123, password, admin123, йцукен, пароль123 и подобные - и их «удлиненные» варианты: распространенная основа с хвостом из цифр и знаков или с заменой букв похожими знаками (@ вместо a, 0 вместо o), например Password1!, P@ssw0rd2026, Qwerty123!, Пароль1!. Требования к составу такие пароли не отсекают, поэтому проверка работает отдельно и выключить ее нельзя. В списке нарушений сотрудник увидит «слишком распространенный (такие пароли подбирают первыми)».Где проверяются требования

Как задается пароль

Проверка по требованиям

Сотрудник меняет свой пароль: профиль, кнопка «Сменить пароль»

Да

Сотрудник меняет пароль на экране «Смените пароль» после первого входа

Да

Восстановление по ссылке: «Забыли пароль?» на странице входа, а также установка пароля по ссылке-приглашению

Да

Администратор создает пользователя в режиме «Задать вручную» (поле «Пароль») или включает вход существующему сотруднику

Да, вместе с отсечением распространенных паролей

Администратор нажимает «Задать пароль вручную» в карточке пользователя и вводит «Новый пароль»

Да: окно само требует только 8 символов, но сервер отклоняет пароль, который не проходит требования, и показывает список нарушений

«Пароль письмом» при создании и кнопка «Сгенерировать и отправить пароль» в карточке

Пароль придумывает сама система: не короче 16 символов и не короче заданной длины, со строчной и заглавной буквой, цифрой и особым символом, поэтому он всегда проходит требования

Пароли, заданные до изменения требований

Нет - задним числом не проверяются

Когда пароль не подходит, сотрудник видит все нарушения сразу и сами требования, например: «Пароль не подходит: нет цифры, нет заглавной буквы. Пароль: не короче 10 символов, хотя бы одна цифра, заглавная буква.»Смена пароля при первом входеСрока действия пароля в volrix.pm нет. Зато пароль, который знает не сам сотрудник, система просит сменить: после входа открывается экран «Смените пароль», и пока пароль не сменен, сервер отвечает на остальные запросы отказом «Смените пароль, чтобы продолжить работу». Новый пароль проверяется по требованиям выше.

Когда

Что включает требование

Администратор создает пользователя в режиме «Задать вручную»

Флажок «Потребовать смену пароля при первом входе», включен по умолчанию

Администратор выдает пароль письмом (режим «Пароль письмом» при создании или кнопка «Сгенерировать и отправить пароль» в карточке)

Всегда: сотрудник входит с присланным паролем и сразу меняет его

Администратор нажимает «Задать пароль вручную» в карточке

Флажок «Потребовать смену пароля при следующем входе», включен по умолчанию. Свой собственный пароль администратор этим окном сменить себе не может - только в профиле

Режим «Ссылка-приглашение»

Не нужно: сотрудник сам задает пароль по ссылке из письма

Пароль задал установщик или команда восстановления доступа администратора

Всегда

Требование касается только локальных учетных записей: пароль из LDAP, Kerberos или OIDC меняется не в volrix.pm. Поэтому пароль, заданный администратором, считайте временным и не снимайте флажок без причины.Блокировка входа

Настройка

Значения

По умолчанию

«Неудач до блокировки»

от 3 до 50

«Окно подсчета, мин»

от 1 до 1440

«Блокировка, мин»

от 1 до 1440

Каждая неудачная попытка входа увеличивает счетчик учетной записи. Если с прошлой неудачи прошло больше окна подсчета, счет начинается заново.

Когда счетчик достигает порога, вход блокируется на заданное время. Сотрудник видит «Слишком много неудачных попыток. Аккаунт заблокирован на N мин.», при следующих попытках - «Слишком много неудачных попыток. Попробуйте через N мин.».

Во время блокировки не проходит и верный пароль.

Успешный вход и восстановление пароля по ссылке обнуляют счетчик.

Неудачные попытки записываются в журнал аудита как неудачный вход с номером попытки.

Отдельно от этой настройки действует постоянное ограничение сервера: не больше 5 попыток входа в минуту с одного IP-адреса. Сверх него сервер отвечает «Слишком много попыток. Повторите ...». Если так отвечают всем сразу, сервер видит всех пользователей с одного адреса прокси - настройте TRUSTED_PROXY_CIDRS (HTTPS).Не путайте блокировку входа с блокировкой учетной записи администратором: переключатель «Активен» в карточке закрывает вход насовсем, пока его не включат (Пользователи).Двухфакторная аутентификацияБлок «Двухфакторная аутентификация» на этой же вкладке задает, кто обязан включить 2FA. Значение действует сразу после «Сохранить».

Значение

Кто обязан

«Не требовать» (по умолчанию)

Никто: каждый включает 2FA сам в профиле

«Для системных администраторов»

Пользователи с ролью «Администратор системы»

«Для всех»

Каждый пользователь с локальной или доменной (LDAP) учетной записью

Пока 2FA не включена, после входа доступна только ее настройка: экран «Включите двухфакторную аутентификацию» с QR-кодом, кодом подтверждения и резервными кодами. Отключить 2FA в профиле нельзя.

Тот, кто включил 2FA сам, при входе по логину и паролю вводит еще и код - в том числе доменный (LDAP) пользователь.

Вход через OIDC и Kerberos не затрагивается: второй фактор там у провайдера.

Не затрагиваются и службы: бот записи и распознавание речи (у них свой секрет), гости встреч (по ссылке), подписка на календарь (свой токен) и интеграции по API-ключу.

Если вы включаете политику, а у вас самих 2FA нет, после сохранения система сразу попросит ее настроить - приготовьте телефон.

Потерянную 2FA снимает администратор кнопкой «Сбросить 2FA» в карточке пользователя, а у единственного администратора - команда на сервере (ниже). Свою 2FA через карточку сбросить нельзя - только в профиле.

Если 2FA потеряна у единственного администратораЕсли в системе есть другой администратор, он нажимает «Сбросить 2FA» в карточке пользователя. Если администратор один, доступ восстанавливается командой на сервере из каталога установки (/opt/volrix при установке мастером); укажите свой адрес администратора:cd /opt/volrix docker compose -f docker-compose.release.yml --env-file .env exec -T \ -e ADMIN_EMAIL=admin@company.ru -e RESET_2FA=1 backend python -m app.tools.seed_adminКоманда снимает двухфакторную аутентификацию и заодно задает новый случайный пароль: он печатается в строке GENERATED_ADMIN_PASSWORD=, а при входе система попросит сменить его. Она же снимает блокировку входа после неудачных попыток. Без RESET_2FA=1 команда только сбрасывает пароль. Подробно о первом входе - Базовые настройки после установки.Как изменить правила

Согласуйте правила Согласуйте длину, состав и блокировку со службой безопасности. Слишком короткая блокировка не защищает от перебора, слишком длинная мешает сотрудникам, которые ошиблись раскладкой.

Измените и сохраните Задайте значения и нажмите «Сохранить» - кнопка активна, только когда есть изменения. Появится «Требования сохранены». Значение вне пределов не сохранится: сервер ответит, например, «min_length: допустимо от 6 до 64».

Проверьте требования Под тестовой учетной записью смените пароль в профиле: слабый пароль должен быть отклонен со списком нарушений, подходящий - принят.

Проверьте блокировку Под тестовой учетной записью введите неверный пароль столько раз, сколько указано в «Неудач до блокировки». Не проверяйте на рабочей учетной записи администратора.

Сообщите сотрудникам Разошлите новые требования и попросите сменить пароли, если это решение службы безопасности: сама система старые пароли не отзывает.

Если не получается

Что видно

Причина и что сделать

Старый короткий пароль по-прежнему работает

Требования не проверяются задним числом. Попросите сотрудника сменить пароль в профиле или нажмите в его карточке «Сгенерировать и отправить пароль».

«Пароль не подходит: слишком распространенный (такие пароли подбирают первыми)»

Пароль из списка частых или его вариант с цифрами и знаками в конце. Придумайте другой: это ограничение не выключается.

Пользователь после входа видит только экран «Включите двухфакторную аутентификацию»

Действует политика «Двухфакторная аутентификация» («Для системных администраторов» или «Для всех»). Пусть настроит 2FA по QR-коду; потерявшему телефон администратор нажимает «Сбросить 2FA» в карточке.

Администратор задал пароль в карточке, а сервер ответил «Пароль не подходит: ...»

Пароль не прошел требования раздела. Выберите пароль подлиннее и сложнее или нажмите «Сгенерировать и отправить пароль»: система придумает подходящий сама.

«Сгенерировать и отправить пароль» отвечает, что письмо не отправлено

Не настроена или не работает почта: пароль при этом не меняется. Проверьте «Администрирование» → «Настройки продукта» → «Почта» (SMTP). У сотрудника из домена (LDAP, OIDC) пароль меняется только в каталоге.

Сотрудник видит «Слишком много неудачных попыток...»

Сработала блокировка. Кнопки снятия блокировки у администратора нет, и смена пароля в карточке ее не снимает. Дождитесь окончания (время есть в сообщении) или попросите сотрудника восстановить пароль по ссылке «Забыли пароль?» - это обнуляет счетчик. Для ссылки должна работать отправка почты (SMTP).

Вход отвечает «Слишком много попыток. Повторите ...»

Сработало ограничение сервера: больше 5 попыток в минуту с одного адреса. Подождите минуту. Если так отвечают всем, проверьте TRUSTED_PROXY_CIDRS.

«Пароль слишком длинный: не больше 72 байт»

Ограничение способа хранения. Сократите пароль; кириллица занимает 2 байта на символ.

Правила не действуют на сотрудника из домена

Так и задумано: пароль проверяет каталог. Правила паролей и блокировку для него задает политика домена или провайдера.

На вкладке экран «Нет доступа»

Нет права «Пользователи - Изменение». Выдайте его роли (Роли и доступы).

Нет пункта «Вход в систему» в меню

Пункт показывается при праве «LDAP / AD - Настройки LDAP / AD», даже если нужна только эта вкладка.

Профиль

Пользователи

LDAP / AD и Kerberos

Смена пароля и двухфакторная аутентификация.Учетная запись, пароль и роли сотрудника.Вход по доменной учетной записи.

Безопасность и закрытый контур

Администрирование: обзор области