---
pkg: '@nocobase/plugin-password-policy'
---

# Политика паролей

## Введение
Здесь вы можете настроить правила для паролей, срок их действия и политики безопасности входа для всех пользователей, а также управлять заблокированными пользователями.

## Правила для паролей

![](https://static-docs.nocobase.com/202412281329313.png)

### Минимальная длина пароля
Установите минимальную требуемую длину пароля. Максимальная длина — 64 символа.

### Требования к сложности пароля
Доступны следующие опции:

- Должен содержать буквы и цифры
- Должен содержать буквы, цифры и символы
- Должен содержать цифры, прописные и строчные буквы
- Должен содержать цифры, прописные и строчные буквы, а также символы
- Должен содержать не менее 3 из следующих типов символов: цифры, прописные буквы, строчные буквы, специальные символы
- Без ограничений

![](https://static-docs.nocobase.com/202412281331649.png)

### Пароль не должен содержать имя пользователя
Укажите, может ли пароль содержать имя текущего пользователя.

### Количество паролей в истории
Система запоминает последние использованные пароли пользователя, чтобы их нельзя было повторно использовать при смене. Значение 0 означает отсутствие ограничений, максимальное количество — 24.

## Настройка срока действия пароля

![](https://static-docs.nocobase.com/202412281335588.png)

### Срок действия пароля
Это период, в течение которого пароль пользователя считается действительным. Чтобы срок действия был пересчитан, пользователь должен сменить пароль до его истечения. Если пароль не будет изменён вовремя, пользователь не сможет войти в систему со старым паролем, и потребуется помощь администратора для его сброса. Если настроены другие способы входа, пользователь сможет воспользоваться ими.

### Канал уведомлений об истечении срока действия пароля
В течение 10 дней до истечения срока действия пароля пользователю будет отправляться напоминание при каждом входе в систему. По умолчанию уведомления отправляются через внутренний канал сообщений "Напоминание об истечении срока действия пароля", которым можно управлять в разделе управления уведомлениями.

### Рекомендации по настройке
Поскольку истечение срока действия пароля может привести к невозможности входа в систему, в том числе для учётных записей администраторов, рекомендуется своевременно менять пароли и настроить в системе несколько учётных записей, имеющих право изменять пароли пользователей.

## Безопасность входа по паролю
Здесь вы можете установить ограничения на количество неудачных попыток входа по паролю.

![](https://static-docs.nocobase.com/202412281339724.png)

### Максимальное количество неудачных попыток входа по паролю
Установите максимальное количество попыток входа, которые пользователь может совершить в течение заданного интервала времени.

### Интервал для подсчёта неудачных попыток входа (секунды)
Установите интервал времени (в секундах), в течение которого подсчитывается максимальное количество неудачных попыток входа пользователя.

### Продолжительность блокировки (секунды)
Установите продолжительность блокировки пользователя после превышения лимита неудачных попыток входа по паролю (0 означает отсутствие ограничений). В период блокировки пользователю будет запрещён доступ к системе любым способом аутентификации, включая API-ключи. Если требуется разблокировать пользователя вручную, обратитесь к разделу [Блокировка пользователя](./lockout.md).

### Сценарии

#### Без ограничений
Количество неудачных попыток входа пользователя не ограничено.

![](https://static-docs.nocobase.com/202412281343226.png)

#### Ограничение частоты попыток без блокировки пользователя
Пример: Пользователь может попытаться войти в систему не более 5 раз каждые 5 минут.

![](https://static-docs.nocobase.com/202412281344412.png)

#### Блокировка пользователя после превышения лимита
Пример: Если пользователь совершает 5 последовательных неудачных попыток входа по паролю в течение 5 минут, он блокируется на 2 часа.

![](https://static-docs.nocobase.com/202412281344952.png)

### Рекомендации по настройке
- Настройка количества неудачных попыток входа по паролю и интервала времени обычно используется для ограничения частых попыток входа за короткий период, что помогает предотвратить атаки методом перебора (брутфорс).
- Решение о блокировке пользователя после превышения лимита должно приниматься с учётом реальных сценариев использования. Настройка продолжительности блокировки может быть использована злоумышленниками: они могут намеренно вводить неверные пароли для целевой учётной записи несколько раз, чтобы заблокировать её и сделать недоступной. Для предотвращения таких атак можно использовать комбинацию ограничений по IP-адресам, лимитов частоты запросов к API и других мер.
- Поскольку блокировка учётной записи делает невозможным вход в систему, в том числе для учётных записей администраторов, рекомендуется настроить в системе несколько учётных записей, имеющих право разблокировать пользователей.