Problemas de login e autenticação

Bloqueado do admin, ou algo estranho acontecendo com suas sessões? Esta página cobre os problemas comuns de acesso e como cada um é resolvido. Em todos os casos o site estático continua no ar: esses problemas afetam apenas o acesso à interface de administração.

"Too many attempts, please try again later"

Muitas tentativas de login falhadas de um endereço IP disparam bloqueios progressivos que persistem entre reinícios:

• Depois de 5 falhas: espera de 60 segundos
• Depois de 10 falhas: espera de 5 minutos
• Depois de 20 falhas: espera de 30 minutos

O contador é por endereço IP, então várias pessoas atrás de um mesmo IP de escritório ou VPN compartilham o mesmo contador. Um login bem-sucedido o zera, e registros de tentativas antigos se dissipam por conta própria. Toda tentativa (sucesso, falha ou bloqueio) fica registrada na aba Auth Log da página Health, e o histórico de logins por usuário é acessível a partir das páginas de Users.

Você também pode ativar alertas: quando o limiar de falhas da aba Security (padrão 20) é atingido em 10 minutos, um evento de erro é registrado, e o primeiro evento desse tipo em cada hora envia um e-mail para o endereço configurado para notificações de build.

Diz "Invalid credentials", mas estou digitando a senha certa

Essa mensagem cobre várias situações:

• Conta suspensa. A suspensão também revoga todas as sessões existentes. A tentativa de login é registrada como bloqueada.
• Senha expirada. Se a expiração de senha está ativada (Settings → Security), uma senha antiga não faz mais login: você é levado à sua página Account com "Your password has expired. Please change it now." Defina uma nova lá.
• Senha errada: deliberadamente indistinguível de um nome de usuário desconhecido, e ambos dão um pequeno atraso antes de o erro ser exibido.

Perdi a senha do admin

No shell do servidor, execute perl bin/reset-admin.pl [username] (padrão: o admin com numeração mais baixa). A conta alvo volta ao estado de placeholder, e a próxima requisição ao admin é redirecionada a /setup, que é onde você define a nova senha. Ao concluir o setup, essa página desaparece (404): esse é o comportamento esperado, e ele não se repete a menos que a conta seja reiniciada de novo. O setup exige uma senha de pelo menos 12 caracteres com maiúsculas, minúsculas e um dígito; você também escolhe lá o idioma da interface e os idiomas iniciais.

Esqueci a senha, autoserviço (o e-mail precisa estar configurado)

A opção de esquecimento de senha do formulário de login envia, por e-mail, para quem possui o nome de usuário ou endereço de e-mail um link de redefinição, válido por 24 horas. A resposta é deliberadamente sempre "If an account with that username or email exists, a reset link has been sent.", assim alguém pescando nomes de usuário não consegue saber se uma conta existe. Cada nova solicitação de redefinição invalida as anteriores, e cada link funciona apenas uma vez e apenas antes de sua expiração de 24 horas. Se ele disser que o link é inválido ou expirou, peça um novo.

Sua sessão foi invalidada

Visitar /admin pode de repente levar você a /login com "Your session was invalidated. Please log in again." Isso acontece quando uma sessão é revogada no servidor; os pontos em questão:

• tempos de vida de sessão: 8 horas por padrão, ou 30 dias se o "Remember me" do formulário de login foi marcado
• trocar sua senha invalida as sessões abertas com a senha antiga; a sua atual sobrevive
• na sua página Account você pode invalidar suas sessões, o que mantém a atual e remove as mais antigas
• um admin pode revogar individualmente as sessões de um usuário específico ou invalidar todas as sessões de um usuário de uma vez, exceto as dele próprio, que devem ser gerenciadas na página Account dele

As sessões registram o IP e o user agent do navegador em cada login, então atividade suspeita pode ser revisada nas páginas de sessões e auth-log do usuário.

Instalações novas que não conseguem entrar

Uma instalação nova termina no mesmo estado de uma senha reiniciada: o admin placeholder não consegue fazer login até que /setup tenha sido executado uma vez, substituindo o placeholder (depois disso, /setup retorna 404).

Se nada disso se aplica, lembre-se de que o contador de bloqueio é por endereço IP: várias pessoas fazendo login atrás de um mesmo IP de escritório compartilhado ou VPN podem bloquear umas às outras, e a aba Auth Log mostra quais IPs foram bloqueados.