--- title: "Console administrativo" description: "O console administrativo do TrustBridge em /admin no Servidor: uma aplicação web Blazor em inglês ou português do Brasil, com login por senha ou por certificado, atualização da frota e alterações auditadas." canonical: "https://docs.lacunasoftware.com/articles/trustbridge/admin-console" locale: "pt-BR" product: "TrustBridge" last_updated: "2026-10-13" --- # Console administrativo O console administrativo fica em `/admin` no Servidor. É uma aplicação web Blazor que pode ser lida em **inglês ou em português do Brasil**, conforme o `Accept-Language` do navegador e um seletor de idioma no topo; duas pessoas podem ler a mesma implantação em idiomas diferentes ao mesmo tempo. Vereditos de certificado, nomes de eventos de auditoria, linhas de log e as mensagens do próprio Signer ficam em inglês em todas as telas. Tudo o que o console mostra é lido do banco de dados da plataforma, e tudo o que ele altera é gravado na Trilha de Auditoria, com a conta conectada como autora. ## Entrar no console Uma **Conta Administrativa** é um login local: um endereço de e-mail, uma senha de pelo menos doze caracteres e um **Segundo Fator** de um aplicativo autenticador. Não há provedor de identidade externo nem e-mail de redefinição de senha. A primeira conta é criada a partir de `Admin:Bootstrap:*` num Servidor cuja tabela de contas está vazia; todas as seguintes são criadas por um Administrador na tela **Configurações e usuários**, e ele entrega a senha inicial pessoalmente. No primeiro login, a conta faz a **inscrição** do segundo fator: o console mostra um QR code para o aplicativo autenticador e, em seguida, um conjunto de **Códigos de Recuperação**, mostrado uma única vez. Um Código de Recuperação é um substituto de uso único para o autenticador; um conjunto novo substitui todo o antigo. Guarde os códigos num lugar que não se perca junto com o celular. ### Acesso com Certificado Uma implantação também pode permitir a entrada com um **e-CPF** ICP-Brasil lido pelo Lacuna Web PKI. O recurso vem desligado e é ativado na configuração da implantação (`Admin:CertificateSignIn:Enabled`, com `Admin:CertificateSignIn:WebPkiLicense` indicando o nome de host que as pessoas digitam; veja [Configuração](https://docs.lacunasoftware.com/articles/trustbridge/configuration#admincertificatesigninenabled)). Onde está ativado, a página de login mostra **Entrar com certificado digital** abaixo do formulário de senha: - **Só certificados e-CPF aparecem na lista.** Um e-CNPJ, ou um certificado sem CPF, não é oferecido. Sem nenhum no computador, a página informa que nenhum certificado com CPF foi encontrado. - **Só em navegadores de computador.** Num celular ou tablet, a página informa que o recurso só existe em computador. O Web PKI é servido pelo próprio Servidor, então uma implantação isolada da rede (air-gapped) funciona; um navegador sem o componente recebe a opção **Instalar o Web PKI**. - **Sem senha e sem a etapa do Segundo Fator.** A pessoa escolhe o certificado, a janela do próprio token pede o PIN quando há um, e o certificado assina um desafio de uso único. Só um veredito `ACTIVE` passa, contra as Autoridades Certificadoras Confiáveis e as raízes da ICP-Brasil do Servidor. Uma conta que ainda precisa cadastrar o Segundo Fator passa antes pela inscrição. - **Ele abre a conta cujo CPF vinculado o certificado traz.** O vínculo é um CPF, nunca um certificado, então um certificado renovado continua funcionando. Um Administrador o define na tela de contas (veja [Configurações e usuários](https://docs.lacunasoftware.com/articles/trustbridge/admin-console#configurações-e-usuários)); ninguém define o próprio. - **Recusas anteriores à identificação da conta são explicadas por completo** (componente ausente, certificado não confiável, expirado, revogado, que não é e-CPF). Um certificado que não corresponde a nenhuma conta ativa recebe a mesma resposta de uma senha errada. - **Há limite de requisições (rate limiting)**: dez desafios por minuto por endereço (um endereço IPv6 conta pelo /64) e no máximo oito verificações de certificado ao mesmo tempo; acima disso, a página pede para tentar de novo em instantes. Uma entrada por certificado que falha nunca conta para o bloqueio por senha, e uma conta bloqueada por senhas erradas ainda entra com o certificado. **As senhas podem ser desligadas** com `Admin:CertificateSignIn:Required`. A página de login então fica sem formulário de senha, e uma conta sem CPF vinculado não consegue entrar de jeito nenhum, inclusive as contas novas. Como `Admin:SecondFactor:Required`, é só configuração da implantação; a página [Segurança](https://docs.lacunasoftware.com/articles/trustbridge/security#acesso-com-certificado) traz o que conferir antes de ligar e o caminho de volta quando ninguém consegue entrar. ### Perfis | Perfil | Pode | |---|---| | **Administrador** | Ler tudo e mudar o estado da plataforma: admitir e revogar máquinas, enviar e oferecer Versões da Estação de Trabalho, cadastrar aplicações e emitir chaves, importar e desativar Certificados do Cofre, adicionar e remover Autoridades Certificadoras Confiáveis, alterar configurações, gerenciar contas e definir o CPF vinculado delas. | | **Auditor** | Ler tudo, sem alterar nada. | A página inicial (Landing Page) em `/` é o que o navegador vê antes do login. Ela diz o que é o Servidor e traz links para seguir adiante; não mostra nenhum estado da plataforma. ## Monitoramento ### A faixa de situação Toda página traz, abaixo da barra superior, uma faixa de contagens: estações de trabalho conectadas, estações que precisam de atualização para se conectar, sessões ativas, assinaturas e falhas nas últimas 24 horas e certificados a vencer em 30 dias. **Cada chip abre a tela que ele resume**, já filtrada: as máquinas conectadas, as que exigem atualização, as sessões ativas, as operações enviadas na janela, as falhas da Trilha de Auditoria desde o início da contagem (um chip **Desde …**, que pode ser fechado, na Trilha de Auditoria) e os certificados a vencer. Quando o banco de dados não responde, os chips ficam esmaecidos e informam que os números estão defasados. ### Trilha de Auditoria `/admin/audit`. O registro somente de acréscimo (append-only) dos eventos da plataforma: acesso à API, ciclo de vida das sessões e das assinaturas, eventos de estações de trabalho e de PIN, atualizações da frota, entregas de callback, ações administrativas e entradas no console. Uma linha por evento com o momento (UTC), o nome do evento, o autor, o objeto e o resultado, além dos detalhes; uma linha sobre a sessão ou o certificado de uma Empresa também mostra o CNPJ. PINs, provas de PIN, conteúdo de documentos e bytes de assinatura nunca aparecem. Filtros: um autor (nome de exibição ou id exato), um CPF, um CNPJ, um id de sessão, uma chave de API (a trilha de uma única chave, incluindo as chamadas recusadas), um tipo de evento, um resultado, um id de correlação (toda a trilha de uma requisição) e um intervalo de tempo. Outras telas levam à trilha por uma coluna **Trilha**, de modo que uma Sessão de Assinatura ou uma linha de chave de API fica a um clique do seu histórico. Uma linha que o banco de dados recusou foi gravada no Log do Servidor no nível `Critical`, e o console mostra um alerta quando isso acontece. A retenção é definida por `Audit:RetentionDays` (365 por padrão), uma das sete configurações que um Administrador pode alterar na tela **Configurações e usuários**. ## Frota ### Estações de Trabalho `/admin/fleet`. Todas as máquinas admitidas: situação, nome da máquina, sistema operacional, versão do serviço, **Atualizações**, situação em relação às Autoridades Certificadoras Confiáveis deste Servidor, número de certificados e quando foi vista por último. Uma linha conectada mostra **conectada** e há quanto tempo a conexão atual foi feita, em vez da última vez em que foi vista. Filtros: **Todas**, **Conectadas**, **Desconectadas** e **Exigem atualização**. O painel de uma máquina mostra o protocolo, quando ela foi vista pela primeira vez, a impressão digital e a postura da chave, a oferta e a última atualização, e três abas: **Certificados**, **Sessões** e **Eventos**. Cada desconexão na aba Eventos informa por que a conexão terminou (`revoked`, `returned-to-queue`, `server-stopping`, `timed-out`, `error` ou `closed`). A única ação do painel é **Revogar máquina**: recusada permanentemente, sem volta, e sem depender da cooperação da máquina. É a resposta certa para uma máquina perdida, roubada ou desativada sem desinstalação. Uma máquina só volta para a fila de admissão pedindo isso pelo próprio Tray App. **Atualização necessária** marca uma máquina que fala um protocolo mais antigo que o mais antigo aceito por este Servidor (o filtro **Exigem atualização** mostra essas máquinas). O handshake dela é recusado até que uma versão atual seja instalada nela manualmente ou por Diretiva de Grupo. No Servidor 1.13.0, são todas as máquinas com Workstation 1.3.0 ou anterior. Uma máquina com Workstation 1.4.x ainda se conecta, mas nunca recebe um desafio de PIN, então não atende novas Sessões de Assinatura até rodar o Workstation 1.5.0; ofereça essa versão a ela. **Oferecer uma versão.** Selecione máquinas e use **Oferecer versão…**, ou **Entregar a todas ainda não atualizadas…** para todas as máquinas admitidas abaixo de uma versão, inclusive as desconectadas (elas recebem a oferta quando se conectarem). Esta segunda é uma seleção única: uma máquina admitida depois não entra, e qualquer máquina pode ser desmarcada antes de confirmar. Uma versão só alcança uma máquina admitida abaixo dela, que consiga receber atualizações do Servidor, cujo Publisher Pin liste o assinante da versão e cuja Diretiva de Grupo deixe as atualizações ligadas; o diálogo lista as outras, com o motivo. Uma oferta substitui a que a máquina tinha antes. **Retirar oferta** a retira das máquinas selecionadas; uma máquina que já a instalou continua com ela. Oferecer de novo a uma máquina a versão que ela já tem oferecida é o jeito de fazer uma instalação que falhou ser tentada outra vez. A coluna **Atualizações** mostra: | Linha | Significado | |---|---| | *Oferecida:* e uma versão | A máquina tem uma oferta que ainda não terminou de processar. | | *Atualizada para* uma versão | A última atualização foi instalada. | | *Atualização para … falhou* | A instalação falhou. O painel mostra o código de saída do `msiexec` e o trecho do log dele que leva até a falha. | | *Atualização para … recusada* | A máquina recusou o pacote e indica a verificação que falhou. | | *Atualizações desativadas por diretiva* | A Diretiva de Grupo da máquina desliga as atualizações vindas do Servidor. As ofertas a deixam de fora; atualize-a da forma como foi instalada. | | *Precisa de atualização manual* | A versão dela não recebe atualizações do Servidor, ou ela não conhece o certificado de assinatura de nenhuma versão acima da dela que este Servidor guarda. Instale a versão manualmente ou por Diretiva de Grupo. | Cada oferta e cada retirada é uma linha `admin.workstation-release-offered` ou `admin.workstation-release-withdrawn`, e cada resultado que uma máquina informa é uma linha `workstation.update-installed`, `workstation.update-failed` ou `workstation.update-refused`. A página [Instalação da estação de trabalho](https://docs.lacunasoftware.com/articles/trustbridge/workstation-installation#atualizações-entregues-pelo-servidor) explica o que uma máquina faz com uma oferta. A coluna de situação de confiança mostra uma de cinco indicações por máquina: | Situação | Significado | |---|---| | Em dia | A máquina tem o conjunto de Autoridades Certificadoras Confiáveis em vigor. | | Atrasada | A máquina ainda tem um conjunto anterior. Ela se atualiza em segundos enquanto conectada, ou na próxima conexão. | | Recusa | A máquina está configurada para não aceitar o conjunto do Servidor (`UseServerTrustedCas` desligado). | | Requer atualização | A máquina informou por último um protocolo antigo demais para pedir o conjunto (Workstation 1.0.x). Este Servidor recusa o handshake dela, então ela fica assim até que uma versão atual seja instalada nela. | | Não informada | A máquina não informou qual conjunto tem. | ### Fila de admissão `/admin/admission`. Máquinas que pediram para entrar e estão aguardando uma pessoa. Cada linha mostra o nome da máquina, o sistema operacional, as versões, a postura da chave (**Chave em hardware** ou **Chave em software**) e a impressão digital dela, e há quanto tempo a máquina está aguardando. **Admitir** a deixa entrar; na próxima reconexão, a máquina se conecta e passa para a tela **Estações de Trabalho**. Acima da tabela, a tela explica o que significa admitir: sem um canal independente (out-of-band) contra o qual conferir uma impressão digital, admitir é uma decisão, e não uma verificação. Leia o nome da máquina e a postura; se a implantação definir `Admission:RequireHardwareBackedKeys`, o controle **Admitir** recusa uma máquina com chave em software, e a linha explica o motivo. Um pedido que ninguém atende expira depois de `Admission:PendingExpiry`, contado a partir do último pedido da máquina. ### Versões da Estação de Trabalho `/admin/workstation-releases`. Os pacotes do Workstation que este Servidor guarda para a frota, uma linha por versão: a versão, quem a assinou, o tamanho do pacote, quando foi enviada e a quantas máquinas está oferecida. Abaixo da tabela, a tela informa quantas versões estão armazenadas e quanto espaço elas ocupam no banco de dados. **Enviar uma versão** (Administradores): escolha um MSI assinado do Workstation de até 256 MB, e ele é lido durante o upload. O Servidor tira do próprio arquivo a versão, o protocolo que o pacote fala e o assinante, então nada é digitado. O pacote é recusado, com o motivo e sem nada armazenado, quando: - não é um pacote do Windows Installer; - não está assinado, ou a assinatura não pode ser lida; - está assinado por um certificado que o Publisher Pin compilado neste Servidor não lista; - a versão não são três números; - não declara um protocolo, o que vale para toda versão do Workstation anterior à 1.3.0; - fala um protocolo fora da janela deste Servidor (o Servidor 1.13.0 aceita 4 e 5, ou seja, Workstation 1.4.0 em diante), e a recusa manda atualizar o Servidor primeiro quando o pacote é mais novo; - a versão já está armazenada (exclua-a antes para substituí-la); - passa de 256 MB, ou o Servidor não consegue gravar no diretório temporário `/tmp/trustbridge-releases`. Cada recusa é uma falha `admin.workstation-release-uploaded` na Trilha de Auditoria. O upload é uma única requisição: no App Service ele precisa terminar dentro do timeout de requisição do front-end (cerca de quatro minutos), e um proxy reverso na frente do Servidor precisa de um limite de corpo acima de 256 MB. **Excluir** tira o pacote do banco de dados, e a cópia do Servidor junto. Uma versão oferecida a qualquer máquina não pode ser excluída até que as ofertas sejam retiradas; as máquinas que a instalaram continuam com ela. **Retirar de todas** retira uma versão de todas as máquinas a que está oferecida. Um Auditor vê a tela inteira e não altera nada. ### Registro de Certificados `/admin/certificates`. Todos os Certificados de Estação de Trabalho que a frota anunciou: o titular e o CPF, o **CNPJ** de um e-CNPJ, o certificado (titular, emissor, thumbprint), quais estações de trabalho têm o certificado, com o estado de conexão de cada uma e quando foi vista por último, o veredito, a validade e quando foi verificado. Num e-CNPJ, o CPF é o da pessoa que o detém pela Empresa, identificada como **Responsável**. Busque por CPF, CNPJ, titular, impressão digital ou estação de trabalho; filtre por situação ou por **A vencer em até 30 dias**. As entradas refletem o último estado conhecido; os certificados de uma estação de trabalho desconectada continuam na lista, marcados como offline. Uma linha `UNTRUSTED` oferece **Confiar no emissor**: o Servidor percorre a cadeia do certificado, identifica a autoridade pela qual não conseguiu chegar a uma raiz e oferece adicioná-la como Autoridade Certificadora Confiável. Uma máquina com um Workstation Service mais antigo não envia a codificação do certificado, então as linhas dela não podem oferecer essa opção. ### Sessões de Assinatura `/admin/sessions`. Todas as Sessões de Assinatura: o CPF, o **CNPJ** quando a sessão é de uma Empresa, a que a sessão está **vinculada** (um certificado numa estação de trabalho identificada, ou o cofre), o estado (Ativa, Expirada, Desativada, Substituída, Esgotada, Interrompida), quando foi criada e quando expira, o número de documentos assinados com ela e, onde a implantação definiu uma Franquia de Assinaturas, quanto já foi gasto dela. Filtre por **Ativas** ou **Encerradas**. Cada linha leva à sua trilha. ### Operações de Assinatura `/admin/operations`. Uma linha por documento enviado para assinatura: o nome do documento, a sessão, onde foi executada (uma estação de trabalho ou o cofre), quando foi enviada, o estado (`Pending`, `Completed`, `Failed`), o código de falha e a etapa alcançada quando falhou, e o id de correlação que o cliente pode citar. Uma execução interrompida por um reinício do Servidor é encerrada por uma varredura como `Failed`, com `RUN_STRANDED`. ## Acesso ### Aplicações Cliente `/admin/applications`. Os sistemas externos que chamam o SignSession Contract, cada um com suas chaves de API. Cadastre uma aplicação com um nome (como a Trilha de Auditoria vai chamá-la) e uma descrição e, em seguida, use **Emitir chave**: dê à chave um nome que diga onde ela está implantada e, se quiser, uma data de validade. **O valor da chave é mostrado uma única vez**, num diálogo, e só o SHA-256 dele é armazenado; nada o recupera depois. Cada linha de chave mostra a idade, o último uso e a trilha da própria chave. Uma chave pode ser **revogada** (a próxima requisição que a apresentar é recusada, permanentemente) e ter a validade editada. Uma aplicação pode ser **desativada**, o que recusa todas as chaves dela de uma vez, mas as mantém, e depois **ativada** de novo. Chaves ausentes, desconhecidas, revogadas, expiradas e de aplicações desativadas são todas rejeitadas da mesma forma no protocolo, com `UNAUTHORIZED`. ### Certificados do Cofre `/admin/vault`. Só existe num Servidor com `Vault:Enabled`; caso contrário, a tela informa que o cofre está desligado e cita a configuração. Lista todos os certificados que o próprio Servidor guarda: o titular e o CPF, o **CNPJ** de um e-CNPJ, o certificado, o veredito, a validade, quando foi importado e se está em uso. O aviso sobre o Protetor do Chaveiro fica sempre à vista; o aviso sobre a senha de importação fica em **Sobre a senha de importação**. **Importar um PFX**: um certificado e sua chave privada por arquivo, um e-CPF ou e-CNPJ da ICP-Brasil, junto com a senha do arquivo. Um e-CNPJ precisa trazer um CNPJ válido e um CPF válido do Responsável. A importação comprova que o arquivo pode ser aberto pelo leitor que vai assinar com ele; um arquivo cuja chave esteja protegida com `pkcs5PBES2` é recusado com uma mensagem que indica a reexportação no formato legado (`openssl pkcs12 -export -legacy`). A senha é usada uma vez e nunca armazenada: a aplicação cliente a fornece como o `pin` em cada criação de sessão. Um Servidor cuja licença da PKI foi recusada recusa toda importação. Duas ações por certificado. **Desativar** o deixa **Fora de uso**: ele não cria sessão nem assina nada até ser ativado de novo, enquanto o arquivo, a chave e o histórico permanecem. **Excluir** destrói o material da chave privada e não pode ser desfeito; a confirmação pede que você digite o CPF. Nenhuma das duas afeta uma sessão ativa já vinculada ao certificado, exceto pelo fato de que o segredo retido para essa sessão é descartado na hora, então a próxima assinatura dela é recusada. Não existe caminho de exportação ou download em lugar nenhum. ### Autoridades Certificadoras Confiáveis `/admin/trusted-cas`. As autoridades certificadoras em que um Administrador mandou este Servidor confiar, além das raízes da ICP-Brasil que a implantação já reconhece. Cada linha: o tipo (**Raiz** ou **Intermediária**), a autoridade, o certificado e a validade dela, o que **depende dela** e desde quando ela é confiável. **Confiar em uma autoridade certificadora**: faça upload de um arquivo, DER, PEM ou um pacote PKCS#7, identificado pelo conteúdo, e não pelo nome. Um arquivo pode trazer uma cadeia inteira, e todas as autoridades dela são oferecidas. O certificado de um titular também é aceito: o Servidor lê o emissor dele, segue os ponteiros `caIssuers` do próprio certificado pela web quando necessário (no máximo quatro buscas) e oferece o que encontrou, marcando uma autoridade obtida de uma URL indicada pelo próprio certificado não confiável como uma cuja impressão digital deve ser conferida com cuidado especial. Nada passa a ser confiável até você confirmar a oferta. A adição entra em vigor no Servidor em execução, sem reinício, e chega em segundos a todas as máquinas admitidas conectadas. **Deixar de confiar** numa autoridade pode tornar Certificados de Estação de Trabalho e Certificados do Cofre `UNTRUSTED` e, onde o Acesso com Certificado está ativado, recusar a entrada de administradores; por isso a linha e a confirmação contam antes o que depende dela: - **No cofre**: número exato assim que todo Certificado do Cofre tem uma cadeia registrada, o que a revalidação de hora em hora e cada importação gravam. Até lá, e nas linhas cuja cadeia nunca foi construída, a contagem diz *pelo menos*. Certificados expirados ficam de fora. - **Em máquinas**: sempre *pelo menos*, comparado pelo nome do emissor. - **Entre Contas Administrativas**: *pelo menos*, contando as contas que entraram pela última vez com um certificado desta autoridade. Só aparece onde o Acesso com Certificado está ativado ou alguém ainda tem um CPF vinculado. A contagem não enxerga um vínculo que ainda não foi usado para entrar, nem o próximo certificado que uma pessoa vai apresentar. Nada impede a remoção. Uma máquina offline continua confiando numa autoridade removida até se reconectar. As linhas removidas são mantidas, e não apagadas, para que a Trilha de Auditoria possa citá-las. ## Sistema ### Configurações e usuários `/admin/settings`. Duas coisas. **Configurações da plataforma**: as sete chaves que um Administrador pode sobrescrever em tempo de execução, cada uma com um texto de ajuda e o padrão da implantação ao lado. Um valor salvo prevalece sobre a configuração da implantação e entra em vigor sem reinício; **Restaurar os padrões da implantação** limpa os overrides. | Configuração | Padrão | |---|---| | Janela padrão da sessão | 1 h | | Janela máxima da sessão | 24 h | | Tempo limite do pedido no Tray App | 60 s | | Falhas de PIN antes do bloqueio | 5 | | Janela de bloqueio de PIN | 15 min | | Tolerância de reconexão da estação de trabalho | 15 s | | Retenção da auditoria (dias) | 365 | Os dois valores de PIN também definem os limites de provas com falha: quantas provas de PIN uma estação de trabalho pode errar para um CPF dentro da janela, e quantas senhas que não abrem nada o Cofre de Certificados pode tentar para um CPF ([Configuração](https://docs.lacunasoftware.com/articles/trustbridge/configuration#os-limites-de-pin-com-falha)). Algumas opções **não** estão aqui, de propósito: `Admin:SecondFactor:Required`, as chaves `Admin:CertificateSignIn:*` e `Vault:Enabled`. Elas são configuração da implantação, porque uma opção que enfraquece a proteção do console ou ativa chaves privadas guardadas no servidor não pode estar ao alcance de dentro do próprio console. **Contas Administrativas**: todas as contas, com perfil, situação de acesso, última entrada e inscrição do segundo fator. Um Administrador pode criar uma conta, definir uma senha (as sessões existentes da pessoa terminam em até cinco minutos), tornar uma conta Auditor ou Administrador, **desativá-la** (ela é mantida, porque a Trilha de Auditoria atribui a ela as ações passadas) e ativá-la de novo, usar **Liberar bloqueio** numa conta bloqueada por entradas malsucedidas e **limpar** o segundo fator de alguém, o que também invalida os Códigos de Recuperação da pessoa e a obriga a fazer a inscrição de novo no próximo login. Ninguém consegue ler ou definir o segundo fator de outra pessoa. Onde o Acesso com Certificado está ativado, ou alguma conta ainda tem um vínculo, a tabela também tem uma coluna **CPF vinculado**, que mostra o CPF completo para os dois perfis. Um Administrador o define com **Definir CPF vinculado** (ou **Substituir CPF vinculado**) na linha de outra conta, ou no formulário de conta nova, e o remove com **Limpar CPF vinculado**: - **Nunca na própria linha**, para definir, substituir ou limpar. Uma implantação que desliga as senhas precisa, portanto, de pelo menos dois Administradores. - **Definir exige o Acesso com Certificado ativado**; limpar é sempre permitido. - Os dígitos verificadores precisam conferir (pontos e hífen são aceitos), e um CPF que outra conta já tem é recusado, com o nome dessa conta. - Substituir ou limpar encerra as sessões abertas da pessoa em até cinco minutos. A primeira definição não encerra nada. Cada alteração é uma linha `admin.account-bound-cpf-set` ou `admin.account-bound-cpf-cleared` com o CPF. Quem tem um CPF vinculado pode entrar com qualquer e-CPF confiável que traga esse CPF, sem senha; por isso a pessoa a quem a conta pertence vê, na própria página, quem o definiu e quando. ### Log do Servidor `/admin/logs`. As linhas mais recentes de um dia UTC do log do próprio Servidor, lidas do arquivo rotativo em `Logging:File:Directory`, filtradas por nível e por texto: quando, nível, categoria de origem, mensagem e o id de correlação que leva às linhas correspondentes da Trilha de Auditoria. É uma conveniência para quem está no console, não um registro: a saída do console é o registro, e o arquivo é apagado depois de `Logging:File:RetainedDays`. Numa implantação que desligou o arquivo, a tela informa isso e cita a chave. ### Sua conta `/admin/account`. A única credencial da plataforma que a própria pessoa gerencia: trocar a senha, **Substituir seu autenticador** ao trocar de dispositivo e **Gerar um novo conjunto de Códigos de Recuperação**, com um Código de Recuperação aceito no lugar do autenticador para essa ação. Onde o Acesso com Certificado se aplica, um cartão **Acesso com Certificado** mostra o CPF vinculado da conta, somente leitura, com quem o definiu e quando, ou informa que nenhum está vinculado e que outro Administrador o define. ## Banners Três condições colocam um aviso em todas as páginas do console enquanto durarem: - **Esta plataforma confia nas ACs de teste da Lacuna**: `Certificates:Validation:UseLacunaTestPki` está ligada, uma opção de desenvolvimento que faz o certificado de exemplo de qualquer pessoa assinar como `ACTIVE`. - **A licença da PKI deste Servidor foi recusada, então nada consegue assinar**: o PKI SDK recusou `Certificates:Validation:License` na inicialização. É a licença entregue a cada máquina admitida, então nenhuma estação de trabalho e nenhum Certificado do Cofre consegue assinar até que ela seja renovada e o Servidor reiniciado; o log de inicialização diz por que ela foi recusada. - **As gravações de auditoria estão caindo para o log do Servidor**: uma linha de auditoria não conseguiu chegar ao banco de dados. O alerta fica na faixa de situação, conta as falhas desde que o Servidor iniciou e abre o Log do Servidor no dia e no nível da última.