Zapomniane hasło i zablokowany dostęp — co administrator może, a czego nie

Wysłanie komuś nowego hasła — krok po kroku

Administrator nigdy nie wpisuje cudzego hasła. Noxti generuje hasło tymczasowe i wysyła je mailem na adres użytkownika.

1. Najpierw zajrzyj do Historii logowań i sprawdź powód odmowy. Bardzo często odpowiedź brzmi „konto nieaktywne", a nie „złe hasło" (Podgląd na żywo, historia logowań i statystyki aktywności).
2. Wejdź w Konfiguracja → Zespół i dostęp → Konta użytkowników.
3. Znajdź osobę i w menu trzech kropek wybierz Edytuj użytkownika.
4. Kliknij przycisk Wyślij nowe hasło. Przycisku nie ma, gdy konto nie ma adresu e-mail, gdy edytujesz własne konto (swoje hasło zmieniasz w Zmiana własnego hasła — wymagania i kiedy potrzeba potwierdzenia) i gdy nie jesteś administratorem firmy.
5. W oknie Wysłać nowe hasło? potwierdź przyciskiem Wyślij hasło. Okno przypomina, że nowe tymczasowe hasło trafi na adres użytkownika, a obecne hasło od razu przestanie działać.
6. Jeśli pojawi się okno z prośbą o kod 2FA, podaj kod (Potwierdzenie 2FA przy zmianach uprawnień).
7. Zobaczysz komunikat Nowe hasło wysłane na {adres}.
8. Uprzedź pracownika, że stracił zaufanie 2FA na wszystkich urządzeniach i przy najbliższym logowaniu poda kod.

Jeżeli dostaniesz odmowę mówiącą o uprawnieniach administratora firmy — samo users z zapisem nie wystarcza, patrz niżej.

Zapomniane hasło

Nie ma przycisku „Nie pamiętam hasła" na ekranie logowania. Osoba, która zapomniała hasła, prosi administratora, a ten wysyła jej nowe hasło tymczasowe przyciskiem Wyślij nowe hasło w edycji użytkownika.

Wymaga to uprawnień administratora firmy — samo users z zapisem nie wystarczy. To celowe: wysłanie komuś nowego hasła jest równoznaczne z przejęciem jego konta.

Co się dzieje po kliknięciu:

• Noxti wysyła mail „Nowe hasło do Noxti" z hasłem tymczasowym. Mail mówi też, kto je zresetował, i prosi o kontakt z administratorem, jeśli reset był niespodziewany,
• stare hasło przestaje działać od razu,
• powstaje wpis w dzienniku audytu — kto, komu i kiedy,
• kasowane są wszystkie zaufane urządzenia 2FA tej osoby,
• nowe hasło tymczasowe jest ważne 72 godziny — nieużyte w tym czasie przestaje działać i trzeba wysłać kolejne tym samym przyciskiem.

Jeśli maila nie uda się wysłać, administrator widzi błąd, a stare hasło zostaje bez zmian.

Co widzi użytkownik po otrzymaniu hasła

Po zalogowaniu hasłem tymczasowym użytkownik trafia do Moje konto → Bezpieczeństwo, gdzie czeka baner Ustaw własne hasło. Do czasu zmiany hasła nie zrobi nic innego — wpisuje hasło tymczasowe jako aktualne i wybiera własne (Zmiana własnego hasła — wymagania i kiedy potrzeba potwierdzenia). Każda sesja, która nadal używa starego albo tymczasowego hasła, też zostaje odesłana do formularza zmiany.

W dzienniku wysłanych e-maili te wiadomości są widoczne, ale hasło jest w nich zamaskowane jako „••••••••".

Zablokowane 2FA — tego administrator nie odblokuje

To jest twarde ograniczenie, o którym trzeba wiedzieć zanim ktoś zgubi telefon:

W systemie nie istnieje mechanizm resetu cudzego 2FA. Ani administrator firmy, ani superadministrator nie wyłączy komuś uwierzytelniania dwuskładnikowego. Nie ma takiego przycisku i nie ma takiego adresu w API.

Wyłączyć 2FA może wyłącznie sam użytkownik, podając hasło i kod — z aplikacji albo zapasowy.

Stąd praktyczna zasada dla całego zespołu: kody zapasowe są jedyną drogą powrotu. Każdy, kto włącza 2FA, musi je zapisać poza systemem w chwili, gdy się wyświetlą (Uwierzytelnianie dwuskładnikowe (2FA) — włączenie, kody zapasowe, wyłączenie).

Jeśli utracisz zarówno telefon, jak i kody odzyskiwania, skontaktuj się ze wsparciem NOXTI. Administrator firmy nie może samodzielnie przywrócić dostępu z tego ekranu.

Kogo administrator firmy nie ruszy

Administrator firmy nie może wysyłać nowego hasła, usuwać ani nawet wyszukać:

• superadministratora platformy,
• innego administratora tej samej firmy.

Ta sama reguła obejmuje wszystkie pola, którymi da się przejąć konto: nazwę użytkownika, adres e-mail, przełącznik Aktywna i listę Restrykcji IP. Każde z nich albo przekierowuje odzyskiwanie dostępu pod inny adres, albo odcina osobę od systemu — więc żadne z nich nie jest zwykłą edycją danych (Edycja użytkownika — dane, aktywność i ograniczenie IP).

Pozostałe pola tego samego formularza — imię i nazwisko, role, działy, magazyny — działają normalnie. Zapis szuflady, w którym nie zmieniłeś żadnego z czterech pól wymienionych wyżej, przechodzi bez odmowy, nawet jeśli edytujesz innego administratora.

Co więcej, wyszukiwarka e-maili zgłosi takie konto jako nieistniejące — celowo, żeby nie dało się przez nią sprawdzać, kto jest administratorem.

Na siebie samego administrator może działać zawsze.

Wniosek dla firm z jednym administratorem: miej dwóch. Jeden administrator nie odblokuje sam siebie, jeśli straci dostęp.

Konto nieaktywne kontra złe hasło

Historia logowań rozróżnia te przypadki (Podgląd na żywo, historia logowań i statystyki aktywności). Zanim zaczniesz resetować hasło, sprawdź tam powód odmowy — całkiem często okazuje się, że konto jest po prostu wyłączone.