Команды и доступ
Четыре роли клиентов, субсчета, отражающие реальную структуру вашего бизнеса, ключи API для каждой организации, единый вход и журнал аудита для каждого действия с привилегиями. Та же модель доступа действует в панели управления, API, интерфейсе командной строки, Terraform и на нашем сервере MCP. Доступность: провайдер Terraform находится в активной разработке и пока недоступен. Всё остальное, описанное здесь, работает уже сегодня.
Доступ — это не простой переключатель вкл/выкл. Каждая клиентская организация поставляется с четырьмя ролями, каждая из которых представляет собой фиксированный набор детализированных разрешений module.action, поэтому финансовый контакт никогда не касается сервера, а разработчик никогда не видит счет.
Полный контроль над организацией и ее субаккаунтами: создание дочерних организаций, приглашение и удаление участников, изменение ролей, управление ключами API, развертывание, перезапуск, приостановка и удаление сайтов, управление счетами и способами оплаты, а также чтение журнала аудита. Две вещи намеренно вынесены за его рамки — закрытие организации и возврат средств выполняются сотрудниками, а не выполняют роль клиентских функций.
Только финансовые вопросы и ничего лишнего: счета, подписки, способы оплаты и каталог тарифных планов, а также информация об организации и список ее участников. Никакого доступа к сайту — финансовый представитель или внешний бухгалтер не смогут ничего перезапустить, приостановить или удалить.
Работайте с сайтами без доступа к финансам: просматривайте и создавайте сайты, перезапускайте службы, очищайте кэш, управляйте ключами API, а также создавайте тикеты в службу поддержки или отвечайте на них. Никакого просмотра биллинга, управления участниками, блокировки и удаления — все деструктивные и коммерческие действия остаются за владельцем.
Полный обзор без возможности что-либо изменить — участники, сайты, выставление счетов, тарифные планы, тикеты, статус перевода и журнал аудита. Подходящая роль для клиента-стейкхолдера, внутреннего аудитора или нового сотрудника, который еще осваивается.
Аренда — это дерево, а не плоский список. Организация реселлера находится над организациями клиентов, а сайты — под ними. Участник команды — это членство: один пользователь, одна организация, одна роль, — поэтому один и тот же базовый элемент обслуживает команду из двух человек, агентство, управляющее сотней клиентских учетных записей, и реселлера, управляющего субаккаунтами под собственным брендом.
Роли назначаются для каждой организации, и контроль доступа также осуществляется на уровне организации. Роль в одной организации не дает доступа в другую, независимую организацию: подрядчик может иметь роль «Разработчик» для одного клиентского аккаунта и «Только чтение» для второго, используя один и тот же логин. Тем не менее, доступ распространяется вниз по вашей собственной иерархии: роль в родительской организации применяется к подчиненным организациям, вложенным в нее, именно так реселлеры и агентства управляют своими клиентами.
Изоляция обеспечивается на уровне базы данных, а не только в коде приложения. Построчная безопасность Postgres ограничивает каждый запрос арендатора поддеревом вызывающего абонента, а все, что находится за пределами этого поддерева, возвращает статус «не найдено», а не ошибку прав доступа — поэтому платформа даже не подтверждает существование организации или сайта другого арендатора.
Роли — это не просто удобная функция панели управления. Любой путь в платформу соотносится с теми же ключами разрешений, поэтому здесь нет лазеек, обходящих ваши правила доступа.
Сайты, биллинг, тикеты, уведомления, оповещения, ключи API и управление командой в одной оболочке. Интерфейс отображает только то, что разрешено ролью вошедшего участника, поэтому пользователям не показываются элементы управления, которыми они не могут пользоваться.
Опубликованный API представляет собой тот же движок API, который использует панель управления. Ключи API выдаются для каждой организации с детальными областями видимости, привязанными к разрешениям RBAC, а раздельные тестовый и рабочий режимы позволяют тестировать интеграции без затрагивания реальных расчетов и подготовки ресурсов.
Управляйте сайтами, доменами, DNS, почтовыми ящиками и тарифными планами как инфраструктурой как код и запускайте terraform apply для подготовки хостинга под управлением тех же областей видимости, что и все остальное.
Подключите Claude Code, Cursor, ChatGPT, Claude Desktop или любой другой инструмент, поддерживающий MCP. Токены привязаны к организации и ее правам RBAC, их можно отзывать для каждого инструмента отдельно, предусмотрены подтверждения для опасных действий, лимиты расходов и полный журнал аудита.
Хранится только хэш каждого ключа API, но никогда сам ключ. Ключи имеют название и видимый префикс, чтобы их можно было различать, отслеживать время их последнего использования, а также отзывать по отдельности, не затрагивая остальные.
Идентификация работает на Keycloak, поэтому аутентификация базируется на стандартных протоколах OIDC и SAML, а не на самодельной форме входа, прикрученной к панели хостинга.
Каждое действие с повышенными привилегиями создает запись аудита только для добавления: кто его совершил, что именно было сделано, к какому объекту, подтверждающие данные и исходный IP-адрес. Журнал доступен только для добавления — события добавляются, а не редактируются на месте — а в рабочей среде он разделен по времени, чтобы сохранять высокую скорость работы по мере роста.
Просмотр этого лога сам по себе является разрешением. Им обладают владельцы и участники с правами только для чтения, поэтому и лицо, ответственное за аккаунт, и проверяющий могут видеть всю историю целиком без необходимости получать для этого повышенные права.
Вокруг них расположены элементы управления, которые запрашивают крупные команды: политики сеансов, опциональные списки разрешенных IP-адресов для каждой организации и многофакторная аутентификация для чувствительных действий, чтобы одного лишь активного сеанса было недостаточно для совершения серьезных операций.
Каталог разрешений — это данные, а не жестко закодированная логика, поэтому его можно расширять без перестройки платформы.
Владелец имеет полный контроль над организацией и ее субаккаунтами, включая участников, ключи API, сайты и способы оплаты. Менеджер по выставлению счетов видит счета, подписки, способы оплаты и тарифные планы, но не имеет доступа к сайтам. Разработчик управляет сайтами и ключами API и обрабатывает тикеты, не имея доступа к биллингу или управлению участниками. Пользователь с правами только для чтения может просматривать участников, сайты, биллинг, тарифные планы, тикеты и журнал аудита без возможности что-либо менять.
Пока это не настройка для каждого сайта в отдельности — ограничение единого членства конкретными сайтами входит в планы по доработке. На сегодняшний день вы можете добиться такого же разделения с помощью древовидной структуры арендаторов: поместите эти сайты в дочернюю организацию и назначьте пользователю роль в ней. Поскольку роли предоставляются для каждой организации в отдельности, этот доступ не распространяется ни на что другое в вашем аккаунте.
Нет — API-ключи выдаются на организацию, с детально настраиваемыми областями видимости, привязанными к тем же разрешениям RBAC, и раздельными тестовым (sandbox) и рабочим (live) режимами. Используйте их в качестве учетных данных службы для интеграций, CI или Terraform, а для людей используйте членство. Хранится только хэш каждого ключа, для каждого ключа фиксируется время его последнего использования, и любой ключ можно отозвать по отдельности.
Роль разработчика охватывает просмотр и создание сайтов, перезапуск служб, очистку кэша, управление ключами API и обработку тикетов. Она не дает прав на публикацию на живом сайте, поэтому, если вы хотите, чтобы кто-то мог внедрять изменения, этот доступ должен быть у владельца. Роли назначаются в рамках организации, поэтому в другом аккаунте у вас может быть другая роль.
Да. Управление идентификацией работает на Keycloak с OIDC и SAML, поэтому единый вход SAML доступен для корпоративных клиентов и агентств наряду с входом по волшебной ссылке, электронной почте и паролю, социальными сетями, ключами доступа и двухфакторной аутентификацией TOTP, которая обеспечивается политикой. Один сеанс охватывает панель управления, публичный сайт, базу знаний и тикеты поддержки.
Каждое привилегированное действие записывается в неизменяемый журнал аудита, в котором фиксируются субъект, действие, объект, подтверждающие данные и IP-адрес. Чтение этого журнала является отдельным правом доступа, которым обладают как роли владельца, так и роли только для чтения, поэтому владелец аккаунта и аудитор могут просматривать одну и ту же историю.
Тарифы оцениваются по возможностям хостинга, а не по количеству пользователей. Например, в линейке Footprint-Free все 42 уровня используют абсолютно одинаковый набор прав и различаются только количеством разрешенных сайтов. Цены всегда формируются на основе актуального каталога в вашей валюте, поэтому на странице цен указана именно та сумма, которая будет списана.
Да. Пробный период Footprint-Free длится 14 дней, не требует данных банковской карты и охватывает до 5 сайтов, поэтому вы можете настроить свою организацию, пригласить команду и протестировать роли в реальной работе до оплаты. Для платных тарифов действует 30-дневная гарантия возврата денег.
Начните 14-бесплатную пробную версию тарифной линейки Footprint-Free без привязки карты, пригласите свою команду и оцените работу ролей на реальных сайтах до того, как начнете платить.
Начать бесплатно