Tunnistautuminen ja tietoturva, mukaan lukien SSO

Oletuksena kaikki kirjautuvat käyttäjätunnuksella ja salasanalla. Sähköpostiosoite käy käyttäjätunnuksen sijasta. Jos postin lähetys on määritetty, lomakkeen alle ilmestyy linkki ”Do you need a password reset?”. Postin lähetys kuuluu Professionaliin.

Kirjautumisen jälkeen selain saa kulkuluvan, joka on voimassa määrätyn ajan. Kortti ”JWT token timer” päättää, kuinka pitkän. Sallittuja ovat arvot 1–24 tuntia, suositus on 12. Sen jälkeen on kirjauduttava uudelleen.

Kortti ”Password policy” koskee jokaista järjestelmässä asetettavaa salasanaa. Sitä valvotaan tunnusta luotaessa, henkilön vaihtaessa omaa salasanaansa ja ylläpitäjän nollatessa sellaisen.

Asetat vähimmäispituuden, mitä merkkilajeja on esiinnyttävä, kuinka monen päivän jälkeen salasana vanhenee ja kuinka monta vanhaa salasanaa pysyy estettynä. Päivien ja estolistan kohdalla 0 tarkoittaa ”pois”.

Isoja ja pieniä kirjaimia koskevat säännöt eivät sulje mitään kieltä ulos. Monessa kirjoitusjärjestelmässä ei ole tällaista eroa lainkaan, ja sellaisen merkki täyttää molemmat säännöt yksinään.

Tunnuksilla, jotka kirjautuvat vain SSO:n tai hakemiston kautta, ei ole paikallista salasanaa, joten vanheneminen ei koske niitä. Niiden säännöt ovat palveluntarjoajalla. Jos olemassa oleva tunnus on liitetty SSO:hon ja sillä on yhä oma salasana, vanheneminen ja salasanakäytäntö koskevat edelleen tätä salasanaa.

Kortti ”2FA Settings” määrää, kenen on käytettävä kaksivaiheista kirjautumista. Kohdassa ”Two-factor requirement” valitset yhden neljästä tasosta: ”Off”, ”Administrators only”, ”Administrators and agents” tai ”Everyone”. ”Everyone” kattaa myös asiakkaat. Uusi asennus alkaa tasolla ”Administrators only”. Jo aiemmin ollut asennus säilyttää päivityksen jälkeen aiemman asetuksensa.

Se, joka kirjautuu seuraavaksi ilman toista tekijää, ottaa sellaisen käyttöön. Järjestelmä näyttää QR-koodin todennussovellusta varten ja saman avaimen käsin kirjoitettavaksi. Ensimmäisen koodin jälkeen tekijä on käytössä. Painikkeella ”Set up later” käyttöönottoa voi lykätä, ja kirjautuminen jatkuu ilman sitä. Tämä onnistuu enintään 7 päivää ensimmäisestä lykkäyksestä laskien. Painikkeen alla oleva rivi näyttää jäljellä olevat päivät. Sen jälkeen käyttöönotto on pakollinen.

Heti sen jälkeen ilmestyy kymmenen palautuskoodia. Jokainen niistä korvaa sovelluksen koodin kerran. Ne näytetään täsmälleen kerran. Tallennat ne painikkeella ”Copy” tai ”Download”. ”Download” toimii aina. ”Copy” toimii yleensä myös.

Jos joku menettää laitteensa ja koodinsa, ylläpitäjä auttaa. Käyttäjälistassa yliviivatun kilven painike nollaa kyseisen henkilön kaksivaiheisen kirjautumisen. Hän ottaa sen uudelleen käyttöön seuraavalla kirjautumisella.

Koodit riippuvat palvelimen kellosta. Jos se on väärässä, mitään koodia ei hyväksytä. Saman kortin painike ”Check now” vertaa palvelimen aikaa julkiseen aikalähteeseen.

Jos joku kirjautuu ulkoisen kirjautumispalvelun kautta, järjestelmä ei kysy koodia. Palveluntarjoaja on jo tarkistanut toisen tekijän. Hakemistokirjautuminen on eri asia: siinä yllä oleva sääntö pätee edelleen.

Jokainen käyttäjä voi ottaa kaksivaiheisen kirjautumisen käyttöön omalle tililleen. Tämä koskee jokaista roolia, myös silloin, kun kortti ”2FA Settings” ei vaadi sitä. Avaa käyttäjävalikko sivupalkin vasemmasta alalaidasta ja valitse ”Profile picture”. Samalla sivulla on alue ”Two-factor authentication”.

Alue näyttää, onko kaksivaiheinen kirjautuminen käytössä. Niin kauan kuin se ei ole käytössä, siinä on painike ”Turn on”. Se kysyy ensin salasanaasi. Sen jälkeen näkyy QR-koodi todennussovellusta varten ja sama avain käsin kirjoitettavaksi. Sovelluksen ensimmäisen koodin jälkeen tekijä on käytössä.

Heti sen jälkeen ilmestyy kymmenen palautuskoodia. Tallenna ne painikkeella ”Copy” tai ”Download”. ”I have saved my codes” sulkee luettelon. Se näytetään vain tämän yhden kerran.

Kun kaksivaiheinen kirjautuminen on käytössä, alue näyttää, montako palautuskoodia on jäljellä. ”New recovery codes” luo kymmenen uutta. Vanhat koodit lakkaavat silloin toimimasta. ”Turn off” poistaa kaksivaiheisen kirjautumisen taas käytöstä. Molemmat painikkeet vaativat sovelluksen nykyisen koodin. Palautuskoodia ei siinä hyväksytä.

Jos kortti ”2FA Settings” vaatii kaksivaiheista kirjautumista roolillesi, painike ”Turn off” puuttuu. Alueella oleva rivi kertoo sen.

Väärä salasana tai väärä koodi lasketaan epäonnistuneeksi kirjautumiseksi. Suojaus salasanojen arvailua vastaan pätee siis myös tässä. Käyttöönotto ja käytöstä poisto kirjataan tietoturvalokiin. Jos ylläpitäjä poistaa oman kaksivaiheisen kirjautumisensa käytöstä, loki antaa hälytyksen.

Tilit, jotka kirjautuvat vain ulkoisen kirjautumispalvelun kautta, näkevät painikkeiden sijaan lauseen. Toisesta tekijästä huolehtii niiden palveluntarjoaja. Hakemiston tilit antavat ensimmäisessä vaiheessa salasanansa hakemistosta.

Suojaus toimii ilman mitään asetusta. Kytkettävää ei ole. Sitä koskeva huomautus on kortissa ”2FA Settings”.

Se toimii kahdessa vaiheessa. Viiden epäonnistuneen yrityksen jälkeen samalle tunnukselle keskeytetään se osoite, josta yritykset tulivat. Keskeytys päättyy viimeistään 15 minuuttia ensimmäisen näistä yrityksistä jälkeen. Jokaisesta muusta osoitteesta tunnus on heti käytettävissä.

Se on tärkeä osa. Muuten kuka tahansa kirjautumistunnuksen tunteva voisi lukita kollegansa ulos viidellä väärällä salasanalla. Salasanaa hän ei siihen tarvitsisi lainkaan.

Toinen vaihe on tunnus itse. Se lukitaan 15 minuutiksi 20 epäonnistuneen yrityksen jälkeen. Koska yksi osoite voi tuottaa niistä korkeintaan viisi, siihen tarvitaan useita osoitteita.

Onnistunut kirjautuminen nollaa molemmat laskurit. Palvelimen uudelleenkäynnistyksen jälkeen osoitteen keskeytys on poissa, tunnuksen lukitus jää. Samat laskurit koskevat kirjautumista hakemiston kautta. Tavoittamaton hakemisto ei lasketa epäonnistuneeksi yritykseksi. Jos nimelle ei vielä ole tunnusta tikettijärjestelmässä, vain osoitteen keskeytys pätee.

Käyttäjälistassa näin lukitussa tunnuksessa on merkintä ”temporarily locked”. Se pysyy listassa. 15 minuutin kuluttua merkintä katoaa itsestään.

Odottaa ei tarvitse. Samalla rivillä on painike, jossa on avoin lukko. Se poistaa lukituksen heti ja tyhjentää molemmat laskurit.

Tämä ei ole sama kuin ”Archive”. Se painike sulkee tunnuksen lopullisesti, ja vain se vie tai vapauttaa henkilökuntapaikan.

Tietoturvaloki tallentaa kahdenlaisia tapahtumia. Alueella ”Sign-in” ovat epäonnistuneet kirjautumiset, lukitut tunnukset, kirjautumisyritykset lukituksen aikana, hylätyt kaksivaiheisen tunnistautumisen koodit ja salasanan vaihdot. Tämä koskee kirjautumista salasanalla, hakemiston kautta ja SSO:n kautta.

Alue ”Administration” näyttää, kuka muutti mitä. Se kattaa tunnukset, roolit, oikeudet, tietoturva-asetukset ja arkistot. Myös jokainen lokin vienti tallentuu sinne.

Onnistuneet kirjautumiset tallennetaan vain kahdessa tapauksessa. Ensimmäinen tapaus on ylläpitäjä. Toinen tapaus on kirjautuminen saman tunnuksen epäonnistuneiden yritysten jälkeen. Käsittelijän tai asiakkaan tavallinen kirjautuminen ei näy lokissa. Loki ei ole läsnäololista.

Jos joku kirjautuu nimellä, jota ei ole, merkinnässä lukee ”unknown account”. Järjestelmä ei tallenna kirjoitettua nimeä. Joskus se on salasana, joka päätyi väärään kenttään.

Kirjautumistapahtumat tallentavat IP-osoitteen ja selaimen. Ylläpitotoimet tallentavat, kuka ne teki, mutta eivät IP-osoitetta. Salasanat, koodit ja tikettien tai sähköpostien sisältö eivät ole koskaan lokissa.

Sivu näyttää uusimmat merkinnät ensin, 50 sivua kohden. Kortti ”Filters” rajaa luetteloa. ”Area” valitsee kirjautumiset tai ylläpidon, ”Event” yksittäisen tapahtumatyypin. ”Person” hakee toimineen ja asianosaisen henkilön nimestä. ”From” ja ”To” rajaavat päiviä. ”Failures only” piilottaa kaiken, mikä onnistui.

Suodattimet tulevat voimaan vasta, kun napsautat ”Apply”. ”Reset” poistaa ne taas.

”Export CSV” ja ”Export PDF” lataavat juuri sen, mitä suodattimet näyttävät. Kussakin tiedostossa on enintään 10 000 merkintää. Jos suodattimiin sopii enemmän merkintöjä, vientipainikkeiden kohdalla oleva huomautus kertoo sen. PDF on sinun kielelläsi ja kertoo ylhäällä suodattimet ja ajanjakson. Päivämäärä ja kellonaika noudattavat muotoa, joka on asetettu kohdassa ”Settings → General Settings”.

CSV-tiedosto on aina englanniksi, ja ajat ovat UTC-ajassa. Näin ohjelma voi lukea sen kielestä riippumatta. Jokainen vienti näkyy itse lokissa nimellä ”Security log exported”.

Kuusi tapahtumaa laukaisee hälytyksen. Ne ovat epäonnistuneiden yritysten jälkeen lukittu tunnus, rooliksi ”Admin” vaihdettu rooli, suoraan roolilla ”Admin” luotu tunnus ja ylläpitäjän nollattu kaksivaiheinen tunnistautuminen. Lisäksi tulevat käynnissä olevista tiedoista poistetut arkistoidut tiketit ja ylläpitäjän kirjautuminen epäonnistuneiden yritysten jälkeen.

Hälytyksen jälkeen jokainen, jolla on oikeus, näkee keltaisen bannerin jokaisen sivun yläreunassa. Se kertoo hälytysten määrän edellisen lokikäynnin jälkeen. Linkki ”Open security log” vie sinne. Kun loki avataan, banneri katoaa. Ennen ensimmäistä käyntiä se laskee viimeisten seitsemän päivän hälytykset.

Lisäksi jokainen aktiivinen tunnus, jolla on oikeus ja sähköpostiosoite, saa hälytysviestin. Järjestelmä kerää hälytykset 15 minuutin välein ja lähettää yhden viestin henkilöä kohden, ei yhtä tapahtumaa kohden. Viesti kertoo tapahtuman, asianosaisen henkilön ja ajan. Siinä ei ole IP-osoitetta. Hälytysviesti kuuluu Professional-versioon.

Yöajo poistaa vanhat merkinnät. Määräajat ovat kohdassa ”Settings → Security” kortilla ”Data protection” lohkossa ”Security log retention”. Kirjautumistapahtumat säilytetään oletuksena 90 päivää, sallittu on 7–365 päivää. Ylläpitotoimet säilytetään oletuksena 12 kuukautta, sallittu on 1–120 kuukautta.

Jokaisella määräajalla on oma kytkimensä: ”Delete old sign-in events” ja ”Delete old administrator actions”. Jos kytkin on pois päältä, nuo merkinnät jäävät. Kortti ”Säilytysajat” selittää yöajon.

Tietopyynnössä henkilö saa jokaisen merkinnän, jossa hän toimi tai oli asianosaisena. IP-osoite ja selain tulevat mukaan vain merkinnöistä, jotka hän itse laukaisi, esimerkiksi omasta kirjautumisestaan. Jos henkilö anonymisoidaan, järjestelmä poistaa hänen kirjautumistapahtumansa. Hänen ylläpitotoimensa säilyvät. Nimi korvataan siellä paikkamerkillä.

Huomautus sinulle ylläpitäjänä: onnistuneet kirjautumiset näkyvät lokissa vain ylläpitäjiltä ja epäonnistuneiden yritysten jälkeen. Loki näyttää silti, kuka teki mitä ja milloin. Yrityksessä, jossa on henkilöstön edustus, se on siksi yhteistoiminnan asia.

Aivan ylimpänä on pääkytkin ”Enable single sign-on”. Niin kauan kuin se on pois päältä, käytössä pysyy käyttäjätunnus ja salasana. Kaikki, mitä sen alla määrität, tallentuu ja astuu voimaan vasta, kun kytket sen päälle.

Kortti ”Active Directory / LDAP” liittää paikallisen hakemiston. Syötät palvelimen, hakupohjan, suodattimen, joka löytää henkilön, sekä kentät sähköpostiosoitteelle ja nimille.

Hakuihin käytettävä tunnus on valinnainen. Ilman sitä järjestelmä kysyy nimettömänä. Henkilön salasanaa käytetään vain hakemistoon kirjautumiseen, eikä sitä koskaan tallenneta.

Hakemisto ei tuo omaa toista tekijää. Jos tietoturvasivu vaatii kaksivaiheisen kirjautumisen, sitä kysytään myös näiltä ihmisiltä.

Kortti ”Identity providers” sisältää ulkoiset kirjautumispalvelut. Jokainen saa oman ruutunsa ja oman painikkeensa kirjautumissivulle. ”Add provider” luo uuden.

Kohdassa ”Provider type” valitset lajin. ”Generic OIDC Provider” sopii palveluihin kuten Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 tai Ping Identity. ”SAML 2.0 Provider” sopii samoille taloille, kun ne halutaan liittää SAMLin kautta.

Niiden rinnalla on kuusi alueellista palvelua: LINE, Kakao, Naver, WeChat, WeCom ja DingTalk. Niiden osoitteet ovat valmiiksi täytettyinä ja näkyvät kentässä harmaana tekstinä.

Nimi kohdassa ”Display name” näkyy myöhemmin painikkeessa. Sen vieressä oleva kytkin koskee vain tätä yhtä palveluntarjoajaa.

Paluuosoitteen kanssa etene tässä järjestyksessä. Syötä ensin pelkkä nimi ja klikkaa ”Save provider”. Vasta silloin järjestelmä tietää palveluntarjoajan numeron ja näyttää valmiin osoitteen kohdassa ”Redirect URI”. Se muodostetaan tämän asennuksen julkisesta osoitteesta, siitä, joka on tallennettu kohtaan ”Settings → Security”. Juuri sitä osoitetta järjestelmä käyttää, kun joku kirjautuu.

Kopioit tuon osoitteen ja rekisteröit sen palveluntarjoajalle. Sen on täsmättävä siellä merkilleen. Vastineeksi palveluntarjoaja antaa sinulle tunnisteen ja salaisuuden, jotka syötät tänne kohdasta ”Edit”.

Kenttä ”Allowed e-mail domains” rajaa sitä, kuka saa tulla sisään tämän palveluntarjoajan kautta. Tyhjänä jokainen verkkotunnus on sallittu.

Jos palveluntarjoajalta puuttuu vielä jotain, sen ruudussa on punainen merkintä ”Incomplete”. Se ei silloin näy kirjautumissivulla. Vieressä oleva teksti kertoo, mitä kenttiä sen laji tarvitsee.

Täysin määritetytkään palveluntarjoajat eivät näy, kun pääkytkin on pois päältä. Ruutu kertoo sen keltaisella rivillä.

Jos lisenssisi putoaa takaisin Basiciin, kirjautuminen SSO:n ja hakemiston kautta toimii edelleen. Tällä sivulla voit silloin vain kytkeä palveluntarjoajat ja hakemiston pois päältä. Kirjautumisyritysten loki pysyy luettavana.

Kytkin ”Automatically create accounts on first sign-in” on samassa kortissa kuin pääkytkin. Se on oletuksena päällä.

Kun joku kirjautuu palveluntarjoajan kautta ensimmäisen kerran, järjestelmä etsii ensin tunnusta, joka jo kuuluu tuolle palveluntarjoajalle. Jos sellaista ei löydy, luodaan uusi.

Uusi tunnus saa roolin ”Customer” eikä yhtään tiimiä. Asiakas ei tarvitse jäsenyyttä tiketin luomiseen, joten hän pääsee heti töihin.

Asiakkaita on rajattomasti molemmissa tuoteversioissa, joten näin luotu tunnus ei vie henkilökuntapaikkaa. Se, jonka on määrä ryhtyä agentiksi, saa roolin jälkikäteen käyttäjähallinnassa.

Jos samalla sähköpostiosoitteella on jo tunnus, ne yhdistetään. Näin käy vain silloin, kun palveluntarjoaja ilmoittaa osoitteen varmennetuksi. Jos se ei ilmoita, kirjautuminen hylätään.

Jos kytket sen pois, sisään pääsevät vain ne, joilla jo on tunnus. Kaikki muut käännytetään.

Kortti ”Recent sign-in attempts” aivan alhaalla näyttää viimeiset 100 kirjautumistapahtumaa SSO:n ja hakemiston kautta. Ne tulevat tietoturvalokista. Epäonnistuneet yritykset näkyvät aina. Onnistunut kirjautuminen näkyy vain ylläpitäjiltä ja saman tunnuksen epäonnistuneiden yritysten jälkeen. Siksi luettelossa ei näy jokaista kirjautumista.

Jokainen rivi nimeää ajan, palveluntarjoajan, tuloksen ja lähdeosoitteen. Epäonnistuneessa yrityksessä syy on sen vieressä. Sarake ”User” näyttää tunnuksen nimen. Jos tunnusta ei ole, se näyttää palveluntarjoajan ilmoittaman osoitteen, muuten ”unknown account”. Järjestelmä ei tallenna syötettyä nimeä.

Kirjautuminen käyttäjätunnuksella ja salasanalla ei näy tässä taulukossa. Se ei ole SSO:ta. Löydät sen tietoturvalokista.

Oletuksena merkinnät poistetaan 90 päivän kuluttua. Kortin otsikon alla oleva virke kertoo asetetun määräajan. Kortti ”Säilytysajat” selittää asetuksen.

Asennuksen jälkeen tiimisi käyttää järjestelmää missä tahansa verkkoselaimessa. Asennusohjelma kysyy, miten järjestelmä tavoitetaan. Windows-asennusohjelmassa valitset tämän sivulla ”Tavoitettavuus”. Linuxissa install.sh kysyy saman asian ja numeroi vaihtoehdot 1–5. Myöhemmin muutat sen kohteella ”Muuta, miten SMITEY tavoitetaan”. Tietosi pysyvät paikallaan.

Vaihtoehto ”Vain lähiverkossa, IP-osoitteen kautta (HTTP) - yksinkertaisin vaihtoehto” on oletusasetus. Tiimisi avaa järjestelmän osoitteessa http://, jota seuraavat palvelimen IP-osoite ja portti, esimerkiksi http://192.168.1.20:8088. Portti on 8088, ellet valitse toista. Myös portti 80 toimii. Silloin osoite ei tarvitse porttia. Tämä vaihtoehto ei tarvitse nimeä eikä varmennetta.

Vaihtoehto ”Lähiverkossa omalla nimellä (HTTP, HTTPS mahdollinen myöhemmin) - käytössäsi on sisäinen DNS” toimii kuten ensimmäinen, mutta nimellä kuten ticket.company.local. Luot nimen itse sisäiseen DNS:ääsi. Se osoittaa palvelimen IP-osoitteeseen. Silloin tiimisi tavoittaa järjestelmän nimellä ja edelleen myös IP-osoitteella. Asennusohjelma näyttää sen jälkeen osoitteen tällä nimellä.

Molemmissa HTTP-vaihtoehdoissa salasanat ja tiketit kulkevat verkossasi selväkielisinä. Ylläpitäjät näkevät silloin ilmoituksen sivun yläreunassa.

Muut kolme vaihtoehtoa käyttävät HTTPS:ää: ”Julkisen verkkotunnuksen kautta HTTPS-yhteydellä (automaattisesti, Let's Encrypt)”, ”Lähiverkossa HTTPS:llä ja omalla varmenteella” ja ”Lähiverkossa HTTPS:llä, SMITEYn luomalla varmenteella”. Ne tarvitsevat palvelimella portit 80 ja 443. Seuraava kortti kuvaa ne.

Ensimmäiseen kokeiluun riittää ensimmäinen vaihtoehto. Jos verkossasi on sisäinen DNS, valitse toinen. Jos järjestelmän pitää olla tavoitettavissa internetistä, valitse julkinen verkkotunnus. Jos yritykselläsi on oma varmentaja, valitse oma varmenne lähiverkossa. Muuten anna SMITEYn luoda varmenne.

Ilman HTTPS:ää salasanat ja tiketit kulkevat verkossasi selväkielisinä. Uusi asennus alkaa tavallisella HTTP:llä, jotta se toimii heti missä tahansa verkkoselaimessa. Niin kauan kuin ylläpitäjä avaa järjestelmän tavallisella HTTP:llä, sivun yläreunaan tulee ilmoitus: ”This connection is not encrypted.” Jos järjestelmä avataan itse palvelimella osoitteella ”localhost”, ilmoitusta ei tule. Agentit ja asiakkaat eivät näe sitä koskaan.

”How to switch on HTTPS” vie tähän korttiin. ”Hide for 30 days” piilottaa ilmoituksen sinulta. Asetus kuuluu tilillesi, joten se pätee myös toisessa selaimessa. 30 päivän kuluttua ilmoitus palaa, jos yhteys ei vieläkään ole salattu.

SMITEY-asennusohjelma ottaa HTTPS:n käyttöön kolmella tavalla. Windows-asennusohjelmassa valitset sen sivulla ”Tavoitettavuus”, ja Linuxissa install.sh kysyy saman asian. Jo käynnissä olevassa järjestelmässä avaat Windowsin työpöydältä tai Käynnistä-valikosta kohteen ”Muuta, miten SMITEY tavoitetaan”. Linuxissa alla oleva komento tekee saman. Tietosi pysyvät paikallaan.

Vaihtoehto ”Lähiverkossa HTTPS:llä ja omalla varmenteella” käyttää omaa varmennettasi, esimerkiksi yrityksesi varmentajalta. Asennusohjelma kysyy järjestelmän nimeä ja varmennetiedostoa avaimineen. Myös PFX-tiedosto salasanoineen käy. Ennen kuin se muuttaa mitään, se tarkistaa varmenteen. Avaimen on sovittava, varmenteen on oltava voimassa ja nimen on oltava varmenteessa.

Vaihtoehto ”Lähiverkossa HTTPS:llä, SMITEYn luomalla varmenteella” ei tarvitse omaa varmennetta. SMITEY luo sellaisen itse ja myös uusii sen itse. Asennusohjelma tallentaa juurivarmenteen nimellä SMITEY-root-ca.crt asennuskansioon. Asenna tämä tiedosto jokaiselle tietokoneelle luotetuksi juurivarmenteeksi, esimerkiksi ryhmäkäytännöllä. Siihen asti selaimet näyttävät varoituksen.

Vaihtoehto ”Julkisen verkkotunnuksen kautta HTTPS-yhteydellä (automaattisesti, Let's Encrypt)” hakee varmenteensa Let’s Encryptiltä. Se tarvitsee julkisen verkkotunnuksen, joka osoittaa palvelimeen. Palvelimen on siksi oltava tavoitettavissa internetistä.

Molemmissa lähiverkon vaihtoehdoissa nimi voi olla nimi kuten ticket.company.local, yksi sana kuten helpdesk tai IPv4-osoite. Kaikki kolme tapaa tarvitsevat palvelimella portit 80 ja 443. Jos jokin muu ohjelma käyttää niitä, asennusohjelma keskeyttää eikä muuta mitään. Järjestelmä on sen jälkeen osoitteessa https:// ja nimi, ilman porttia.

Oma varmenteesi vanhenee joskus. 30 päivää ennen ylläpitäjät näkevät sivun yläreunassa ilmoituksen ja päivämäärän. 7 päivää ennen se on punainen. Professional-versiossa kaikki ylläpitäjät, joilla on sähköpostiosoite, saavat lisäksi viestin 30 ja 7 päivää ennen. Uusiaksesi avaa taas ”Muuta, miten SMITEY tavoitetaan”, valitse oman varmenteen vaihtoehto ja anna uudet tiedostot.

Asennuksen mukana tuleva tiedosto HTTPS-GUIDE.txt kuvaa jokaisen vaiheen. Siihen kuuluvat juurivarmenteen jakaminen ja vaiheet käsin.