Политика паролей

Около 2 мин

Политика паролей

Администратор Enterprise-инсталляции задаёт правила для паролей встроенного входа StormBPMN: длину и сложность, блокировку после неудачных попыток входа, срок действия пароля и запрет повторного использования последних паролей.

Настройки находятся в административной панели: Администрирование → Настройки → Безопасность → Политика паролей. Они появляются только при включённой лицензии.

Какие входы затрагивает политика

Политика действует на вход по логину и паролю StormBPMN: форму входа в приложение и форму входа при подключении AI-агентов по MCP (OAuth). Вход через LDAP, Keycloak, Microsoft ADFS и другие OAuth2-провайдеры политика не затрагивает: пароли этих пользователей хранит и проверяет ваш провайдер удостоверений, правила задаются в нём.

Настройки

Настройка	Ключ	По умолчанию	Что делает
Пароль: минимальная длина	`passwordMinLength`	`8`	Минимальное число символов, от 8 до 64
Пароль: требовать сложность	`passwordRequireComplexity`	выключено	Пароль должен содержать строчную и заглавную буквы, цифру и спецсимвол
Вход: неудачных попыток до блокировки	`passwordMaxFailedAttempts`	`0` (не блокировать)	Сколько неверных паролей подряд допускается, до 99
Вход: время блокировки, минут	`passwordLockoutMinutes`	`15`	На сколько минут закрывается вход по паролю, от 1 до 1440
Пароль: срок действия, дней	`passwordMaxAgeDays`	`0` (бессрочно)	Через сколько дней пароль нужно сменить, до 3650
Пароль: запрет повтора последних	`passwordHistoryDepth`	`0` (не проверять)	Сколько последних паролей, включая текущий, нельзя использовать снова, до 24

Значения по умолчанию сохраняют прежнее поведение: после обновления ничего не меняется, пока администратор не изменит настройки.

Длина и сложность

Правила проверяются для каждого нового пароля: при регистрации, смене пароля в профиле, восстановлении по ссылке из письма, создании и изменении учётной записи администратором. Уже установленные пароли не перепроверяются, поэтому после ужесточения правил пользователям не нужно срочно менять пароли.

Независимо от настроек действуют базовые требования:

не меньше 8 символов;
не больше 72 байт в кодировке UTF-8;
пароль не входит в список распространённых.

Буквами считаются буквы любого алфавита, кириллица наравне с латиницей. Спецсимвол — любой символ, кроме букв, цифр и пробела.

Блокировка после неудачных попыток

Когда пользователь подряд вводит неверный пароль столько раз, сколько указано в passwordMaxFailedAttempts, вход по паролю для его учётной записи закрывается на passwordLockoutMinutes минут. Пользователь видит сообщение «Слишком много попыток, вход заблокирован до ЧЧ:ММ».

Во время блокировки не пускает и верный пароль.
Блокировка снимается сама по истечении времени. Успешный вход обнуляет счётчик неудачных попыток.
Попытки на форме входа в приложение и на форме входа MCP считаются вместе.

Рекомендация

5–10 попыток и 15–30 минут блокировки. При таких значениях подбор пароля практически невозможен, а пользователь, который ошибся несколько раз, не остаётся без доступа надолго.

Срок действия пароля

Если задан passwordMaxAgeDays, при входе с паролем старше этого срока StormBPMN сообщает «Срок действия пароля истёк» и предлагает сразу задать новый. Новый пароль проверяется по всем правилам политики и не может совпадать с истёкшим. После смены пользователь сразу входит в систему.

Для паролей, установленных до включения настройки, срок отсчитывается с первого входа после включения. Поэтому включение настройки не заставит всех пользователей сменить пароль в один день.

На форме входа MCP истёкший пароль сменить нельзя: пользователь увидит сообщение «Срок действия пароля истёк. Войдите в Storm и задайте новый пароль».

Запрет повтора последних паролей

Если задан passwordHistoryDepth, новый пароль не может совпадать с текущим и с предыдущими паролями в пределах указанного числа. Например, при значении 3 нельзя использовать текущий пароль и два предыдущих. Пользователь увидит сообщение «Пароль совпадает с одним из последних 3».

StormBPMN хранит только хэши прежних паролей (bcrypt), не сами пароли. История начинает накапливаться после обновления до версии с политикой паролей.

Настройка	Базовый уровень	Повышенные требования
Минимальная длина	10	12
Сложность	выключено	включено
Неудачных попыток до блокировки	10	5
Время блокировки, минут	15	30
Срок действия, дней	0	90
Запрет повтора последних	3	5

Связанная документация

Безопасность — переменные окружения и чек-лист
Система авторизации — OAuth2, Keycloak, ADFS
Аудит-логирование — журнал действий пользователей