Xác thực & bảo mật, gồm cả Single sign-on

Ngay từ đầu, mọi người đăng nhập bằng tên người dùng và mật khẩu. Địa chỉ e-mail dùng được thay cho tên người dùng. Nếu việc gửi thư đã được thiết lập, liên kết “Do you need a password reset?” sẽ hiện bên dưới biểu mẫu. Việc gửi thư thuộc về Professional.

Sau khi đăng nhập, trình duyệt được cấp một thẻ truy cập có hiệu lực trong một khoảng thời gian đã đặt. Thẻ “JWT token timer” quyết định thời gian đó dài bao lâu. Cho phép các giá trị từ 1 tới 24 giờ, khuyến nghị là 12. Sau đó người dùng phải đăng nhập lại.

Thẻ “Password policy” áp cho mọi mật khẩu được đặt trong hệ thống. Nó được áp dụng khi tạo tài khoản, khi một người tự đổi mật khẩu và khi một quản trị viên đặt lại mật khẩu.

Bạn đặt độ dài tối thiểu, những loại ký tự nào phải có, sau bao nhiêu ngày thì mật khẩu hết hạn và bao nhiêu mật khẩu cũ vẫn bị chặn. Với số ngày và danh sách chặn, số 0 nghĩa là “tắt”.

Các quy tắc về chữ hoa và chữ thường không loại bỏ ngôn ngữ nào. Nhiều hệ chữ viết hoàn toàn không phân biệt như vậy, và một ký tự thuộc hệ đó tự nó thỏa mãn cả hai quy tắc.

Những tài khoản chỉ đăng nhập qua Single sign-on hoặc qua một thư mục thì không có mật khẩu cục bộ, nên việc hết hạn không áp cho họ. Quy tắc của họ nằm ở phía nhà cung cấp. Nếu một tài khoản sẵn có đã được liên kết với Single sign-on mà vẫn còn mật khẩu riêng, thì việc hết hạn và chính sách mật khẩu vẫn tiếp tục áp cho mật khẩu đó.

Thẻ “2FA Settings” quyết định ai phải dùng đăng nhập hai yếu tố. Dưới “Two-factor requirement”, bạn chọn một trong bốn mức: “Off”, “Administrators only”, “Administrators and agents” hoặc “Everyone”. “Everyone” bao gồm cả khách hàng. Một bản cài đặt mới bắt đầu với “Administrators only”. Một bản cài đặt đã có từ trước vẫn giữ thiết lập cũ của nó sau khi cập nhật.

Ai đăng nhập lần kế tiếp mà chưa có yếu tố thứ hai thì sẽ thiết lập nó. Hệ thống hiện một mã QR cho ứng dụng xác thực và cùng khóa đó dưới dạng chữ để gõ tay. Sau mã đầu tiên, yếu tố này bắt đầu có hiệu lực. Với “Set up later”, việc thiết lập có thể được hoãn, và việc đăng nhập tiếp tục mà không cần nó. Việc này được tối đa 7 ngày, tính từ lần hoãn đầu tiên. Dòng dưới nút cho biết số ngày còn lại. Sau đó, việc thiết lập là bắt buộc.

Ngay sau đó, mười mã khôi phục xuất hiện. Mỗi mã thay thế được một lần cho mã lấy từ ứng dụng. Chúng chỉ hiện đúng một lần. Bạn lưu chúng bằng “Copy” hoặc “Download”. “Download” luôn hoạt động. “Copy” thường cũng hoạt động.

Nếu ai đó mất thiết bị và mất luôn các mã của mình thì quản trị viên giúp. Trong danh sách người dùng, cái nút mang hình khiên bị gạch chéo sẽ đặt lại đăng nhập hai yếu tố của người đó. Họ thiết lập lại ở lần đăng nhập kế tiếp.

Các mã phụ thuộc vào đồng hồ của máy chủ. Nếu đồng hồ sai thì không mã nào được chấp nhận. Nút “Check now” trên cùng thẻ đó so giờ máy chủ với một nguồn giờ công cộng.

Nếu ai đó đăng nhập qua một dịch vụ đăng nhập bên ngoài, hệ thống không hỏi mã. Nhà cung cấp đã kiểm tra yếu tố thứ hai rồi. Đăng nhập qua thư mục thì khác: ở đó quy tắc phía trên vẫn áp dụng.

Mọi người dùng đều có thể bật đăng nhập hai yếu tố cho tài khoản của chính mình. Điều này áp dụng cho mọi vai trò, kể cả khi thẻ “2FA Settings” không yêu cầu. Mở menu người dùng ở góc dưới bên trái thanh bên và chọn “Profile picture”. Cùng trang đó có khu vực “Two-factor authentication”.

Khu vực này cho biết đăng nhập hai yếu tố có đang bật không. Khi nó còn tắt, ở đó có nút “Turn on”. Nút này trước hết hỏi mật khẩu của bạn. Sau đó một mã QR cho ứng dụng xác thực xuất hiện, cùng khóa đó dưới dạng chữ để gõ tay. Sau mã đầu tiên từ ứng dụng, yếu tố này có hiệu lực.

Ngay sau đó, mười mã khôi phục xuất hiện. Hãy lưu chúng bằng “Copy” hoặc “Download”. “I have saved my codes” đóng danh sách. Danh sách chỉ hiện đúng một lần này.

Khi đăng nhập hai yếu tố đang bật, khu vực này cho biết còn lại bao nhiêu mã khôi phục. “New recovery codes” tạo mười mã mới. Khi đó các mã cũ không còn dùng được. “Turn off” tắt lại đăng nhập hai yếu tố. Cả hai nút đều đòi mã hiện tại từ ứng dụng. Ở đó không chấp nhận mã khôi phục.

Nếu thẻ “2FA Settings” yêu cầu đăng nhập hai yếu tố cho vai trò của bạn thì không có nút “Turn off”. Một dòng trong khu vực cho biết điều đó.

Mật khẩu sai hoặc mã sai được tính như một lần đăng nhập thất bại. Vì vậy cơ chế bảo vệ chống dò mật khẩu cũng áp dụng ở đây. Việc bật và tắt được ghi vào nhật ký bảo mật. Nếu một quản trị viên tắt đăng nhập hai yếu tố của chính mình, nhật ký phát cảnh báo.

Các tài khoản chỉ đăng nhập qua một dịch vụ đăng nhập bên ngoài sẽ thấy một câu thay cho các nút. Nhà cung cấp của họ lo yếu tố thứ hai. Các tài khoản từ một thư mục nhập mật khẩu thư mục của mình ở bước đầu tiên.

Cơ chế bảo vệ này chạy mà không cần thiết lập gì. Không có gì để bật. Ghi chú về nó nằm trong thẻ “2FA Settings”.

Nó hoạt động theo hai mức. Sau năm lần thử hỏng cho cùng một tài khoản, địa chỉ nơi chúng xuất phát bị tạm dừng. Lần tạm dừng kết thúc chậm nhất 15 phút sau lần thử đầu tiên trong số đó. Từ mọi địa chỉ khác, tài khoản vẫn dùng được ngay.

Đó là phần quan trọng. Nếu không, ai biết một tên đăng nhập cũng có thể khóa một đồng nghiệp ra ngoài bằng năm mật khẩu sai. Họ chẳng cần biết mật khẩu nào cả.

Mức thứ hai là chính tài khoản. Nó bị khóa 15 phút sau hai mươi lần thử hỏng. Vì một địa chỉ đơn lẻ chỉ góp được nhiều nhất năm lần, việc đó cần tới nhiều địa chỉ.

Một lần đăng nhập thành công đặt lại cả hai bộ đếm. Sau khi máy chủ khởi động lại, phần tạm dừng theo địa chỉ biến mất, còn phần khóa tài khoản thì vẫn còn. Cũng các bộ đếm đó áp cho việc đăng nhập qua một thư mục. Một thư mục không liên lạc được thì không tính là lần thử hỏng. Nếu trong hệ thống ticket chưa có tài khoản cho cái tên đó, chỉ phần tạm dừng theo địa chỉ được áp dụng.

Trong danh sách người dùng, một tài khoản bị khóa theo cách này mang nhãn “temporarily locked”. Nó vẫn nằm trong danh sách. Sau 15 phút, nhãn tự biến mất.

Bạn không phải chờ. Ngay trên dòng đó có một cái nút hình ổ khóa đang mở. Nó gỡ khóa ngay lập tức và xóa cả hai bộ đếm.

Việc này không giống với “Archive”. Cái nút kia đóng hẳn một tài khoản, và chỉ nó mới chiếm hoặc giải phóng một chỗ người dùng nội bộ.

Nhật ký bảo mật ghi lại hai loại sự kiện. Khu vực “Sign-in” chứa các lần đăng nhập thất bại, tài khoản bị khóa, các lần thử đăng nhập trong lúc bị khóa, mã hai lớp bị từ chối và việc đổi mật khẩu. Điều này áp dụng cho đăng nhập bằng mật khẩu, qua thư mục và qua SSO.

Khu vực “Administration” cho thấy ai đã thay đổi gì. Phần này gồm tài khoản, vai trò, quyền, cài đặt bảo mật và kho lưu trữ. Mỗi lần xuất nhật ký cũng được ghi lại ở đó.

Các lần đăng nhập thành công chỉ được ghi lại trong hai trường hợp. Trường hợp thứ nhất là quản trị viên. Trường hợp thứ hai là lần đăng nhập sau các lần thử thất bại trên cùng tài khoản. Lần đăng nhập thông thường của một nhân viên hỗ trợ hay khách hàng không có trong nhật ký. Nhật ký không phải danh sách chấm công.

Nếu ai đó đăng nhập bằng một tên không tồn tại, mục ghi “unknown account”. Hệ thống không lưu tên đã gõ. Đôi khi đó là một mật khẩu bị gõ nhầm vào ô khác.

Sự kiện đăng nhập lưu địa chỉ IP và trình duyệt. Thao tác quản trị lưu người đã thực hiện, nhưng không lưu địa chỉ IP. Mật khẩu, mã và nội dung ticket hay email không bao giờ có trong nhật ký.

Trang hiện các mục mới nhất trước, 50 mục mỗi trang. Thẻ “Filters” thu hẹp danh sách. “Area” chọn đăng nhập hoặc quản trị, “Event” chọn một loại sự kiện. “Person” tìm trong tên người đã thực hiện và người bị ảnh hưởng. “From” và “To” giới hạn số ngày. “Failures only” ẩn mọi thứ đã thành công.

Bộ lọc chỉ có hiệu lực sau khi bấm “Apply”. “Reset” bỏ chúng đi.

“Export CSV” và “Export PDF” tải xuống đúng những gì bộ lọc đang hiện. Mỗi tệp chứa tối đa 10.000 mục. Nếu có nhiều mục khớp với bộ lọc hơn, một ghi chú cạnh các nút xuất sẽ cho biết. Tệp PDF dùng ngôn ngữ của bạn và ghi bộ lọc cùng khoảng thời gian ở trên cùng. Ngày và giờ theo định dạng đặt ở “Settings → General Settings”.

Tệp CSV luôn bằng tiếng Anh, và thời gian tính theo UTC. Nhờ vậy một chương trình có thể đọc nó bất kể ngôn ngữ. Mỗi lần xuất cũng có trong nhật ký với tên “Security log exported”.

Sáu sự kiện gây ra cảnh báo. Đó là tài khoản bị khóa sau các lần thử thất bại, vai trò bị đổi thành “Admin”, tài khoản được tạo ngay với vai trò “Admin” và việc đặt lại đăng nhập hai lớp của một quản trị viên. Ngoài ra còn các ticket đã lưu trữ bị gỡ khỏi dữ liệu đang dùng và lần đăng nhập của quản trị viên sau các lần thử thất bại.

Sau một cảnh báo, ai có quyền này đều thấy một dải băng màu vàng ở đầu mỗi trang. Dải băng ghi số cảnh báo kể từ lần cuối người đó xem nhật ký. Liên kết “Open security log” dẫn đến đó. Khi mở nhật ký, dải băng biến mất. Trước lần xem đầu tiên, nó đếm các cảnh báo trong bảy ngày gần nhất.

Ngoài ra, mỗi tài khoản đang hoạt động có quyền này và có địa chỉ email sẽ nhận email cảnh báo. Hệ thống gom các cảnh báo mỗi 15 phút và gửi một email cho mỗi người, chứ không phải một email cho mỗi sự kiện. Email ghi sự kiện, người bị ảnh hưởng và thời điểm. Email không chứa địa chỉ IP. Email cảnh báo thuộc bản Professional.

Lần chạy ban đêm xóa các mục cũ. Các thời hạn nằm ở “Settings → Security”, trong thẻ “Data protection”, ở khối “Security log retention”. Sự kiện đăng nhập mặc định được giữ 90 ngày, cho phép từ 7 đến 365 ngày. Thao tác quản trị mặc định được giữ 12 tháng, cho phép từ 1 đến 120 tháng.

Mỗi thời hạn có công tắc riêng: “Delete old sign-in events” và “Delete old administrator actions”. Nếu một công tắc tắt, các mục đó được giữ lại. Thẻ “Thời hạn lưu giữ” giải thích lần chạy ban đêm.

Khi có yêu cầu truy cập dữ liệu, người đó nhận mọi mục mà họ đã thực hiện hoặc bị ảnh hưởng. Địa chỉ IP và trình duyệt chỉ đi kèm các mục do chính họ gây ra, chẳng hạn lần đăng nhập của chính họ. Nếu người đó được ẩn danh hóa, hệ thống xóa các sự kiện đăng nhập của họ. Các thao tác quản trị của họ được giữ lại. Tên của họ ở đó được thay bằng tên giữ chỗ.

Một lưu ý cho bạn với tư cách người vận hành: đăng nhập thành công chỉ có trong nhật ký với quản trị viên và sau các lần thử thất bại. Dù vậy, nhật ký vẫn cho thấy ai đã làm gì và khi nào. Ở công ty có hội đồng người lao động, vì thế đây là vấn đề cần cùng quyết định.

Trên cùng là công tắc tổng “Enable single sign-on”. Chừng nào nó còn tắt thì vẫn là tên người dùng và mật khẩu. Mọi thứ bạn thiết lập bên dưới đều được lưu và chỉ có hiệu lực khi bạn bật nó lên.

Thẻ “Active Directory / LDAP” kết nối một thư mục tại chỗ. Bạn nhập máy chủ, gốc tìm kiếm, bộ lọc tìm ra một người, cùng các trường cho địa chỉ e-mail và cho tên.

Tài khoản dùng để tra cứu là tùy chọn. Nếu không có, hệ thống hỏi ẩn danh. Mật khẩu của một người chỉ được dùng để xác thực với thư mục và không bao giờ được lưu lại.

Một thư mục không mang theo yếu tố thứ hai của riêng nó. Nếu trang bảo mật đòi đăng nhập hai yếu tố thì những người này cũng được hỏi.

Thẻ “Identity providers” chứa các dịch vụ đăng nhập bên ngoài. Mỗi dịch vụ có ô riêng và nút riêng trên trang đăng nhập. “Add provider” tạo một dịch vụ mới.

Ở mục “Provider type” bạn chọn loại. “Generic OIDC Provider” hợp với những dịch vụ như Google Workspace, Microsoft Entra ID, Okta, Keycloak, Auth0 hay Ping Identity. “SAML 2.0 Provider” hợp với chính những nhà đó khi bạn muốn kết nối qua SAML.

Bên cạnh đó là sáu dịch vụ trong khu vực: LINE, Kakao, Naver, WeChat, WeCom và DingTalk. Địa chỉ của chúng được điền sẵn và hiện dưới dạng chữ xám trong ô.

Tên ở mục “Display name” về sau hiện trên nút bấm. Công tắc bên cạnh chỉ áp cho đúng nhà cung cấp này.

Với địa chỉ gọi lại, hãy làm theo thứ tự sau. Trước hết chỉ nhập một cái tên rồi nhấp “Save provider”. Chỉ khi đó hệ thống mới biết số của nhà cung cấp và hiện ra địa chỉ hoàn chỉnh ở mục “Redirect URI”. Địa chỉ đó được ghép từ địa chỉ công khai của bản cài đặt này, tức địa chỉ được lưu ở mục “Settings → Security”. Đó chính là địa chỉ mà hệ thống dùng khi có người đăng nhập.

Bạn sao chép địa chỉ đó rồi đăng ký nó ở phía nhà cung cấp. Ở đó nó phải khớp từng ký tự. Đổi lại, nhà cung cấp đưa cho bạn một ID và một khóa bí mật, và bạn nhập chúng vào đây qua “Edit”.

Ô “Allowed e-mail domains” giới hạn ai được vào qua nhà cung cấp này. Để trống thì mọi tên miền đều được phép.

Nếu một nhà cung cấp còn thiếu thứ gì đó, ô của nó mang nhãn đỏ “Incomplete”. Khi đó nó không hiện trên trang đăng nhập. Đoạn chữ bên cạnh nói loại của nó cần những trường nào.

Những nhà cung cấp đã cấu hình đầy đủ vẫn không hiện ra chừng nào công tắc tổng còn tắt. Ô của nó nói rõ điều đó trong một dòng màu vàng.

Nếu giấy phép của bạn quay về Basic, việc đăng nhập qua SSO và qua thư mục vẫn tiếp tục chạy. Khi đó trên trang này bạn chỉ còn tắt được các nhà cung cấp và thư mục. Nhật ký các lần thử đăng nhập vẫn đọc được.

Công tắc “Automatically create accounts on first sign-in” nằm trong cùng thẻ với công tắc tổng. Mặc định nó đang bật.

Khi ai đó đăng nhập lần đầu qua một nhà cung cấp, hệ thống trước hết tìm một tài khoản đã thuộc về nhà cung cấp đó. Nếu không tìm thấy, một tài khoản mới được tạo ra.

Tài khoản mới nhận vai trò “Customer” và không thuộc nhóm nào. Một khách hàng không cần là thành viên nhóm để tạo ticket, nên họ làm việc được ngay.

Khách hàng không giới hạn ở cả hai phiên bản, nên một tài khoản tạo theo cách này không dùng chỗ người dùng nội bộ nào. Ai cần trở thành nhân viên xử lý thì được cấp vai trò sau đó trong phần quản lý người dùng.

Nếu đã có một tài khoản với cùng địa chỉ e-mail thì hai bên được nối lại với nhau. Việc này chỉ xảy ra khi nhà cung cấp báo rằng địa chỉ đã được xác minh. Nếu không, lần đăng nhập bị từ chối.

Nếu bạn tắt nó đi thì chỉ những người đã có tài khoản mới vào được. Mọi người khác bị từ chối.

Thẻ “Recent sign-in attempts” ở dưới cùng hiện 100 sự kiện đăng nhập gần nhất qua SSO và thư mục. Chúng lấy từ nhật ký bảo mật. Các lần thử thất bại luôn có trong đó. Một lần đăng nhập thành công chỉ có trong đó với quản trị viên và sau các lần thử thất bại trên cùng tài khoản. Vì vậy không phải lần đăng nhập nào cũng có trong danh sách.

Mỗi dòng nêu thời điểm, nhà cung cấp, kết quả và địa chỉ nguồn. Với một lần thử hỏng thì lý do đứng bên cạnh. Cột “User” hiện tên của tài khoản. Nếu không có tài khoản, cột hiện địa chỉ mà nhà cung cấp đã báo, nếu không thì hiện “unknown account”. Hệ thống không lưu tên đã được nhập.

Việc đăng nhập bằng tên người dùng và mật khẩu không xuất hiện trong bảng này. Nó không phải Single sign-on. Bạn tìm thấy nó trong nhật ký bảo mật.

Mặc định các mục bị xóa sau 90 ngày. Câu dưới tiêu đề thẻ nêu thời hạn đã đặt. Thẻ “Thời hạn lưu giữ” giải thích thiết lập này.

Sau khi cài đặt, nhóm của bạn dùng hệ thống trên mọi trình duyệt web. Trình cài đặt hỏi hệ thống sẽ được truy cập theo cách nào. Trong trình cài đặt cho Windows, bạn chọn điều này ở trang “Khả năng truy cập”. Trên Linux, install.sh hỏi cùng câu hỏi đó và đánh số các phương án từ 1 đến 5. Về sau bạn thay đổi bằng “Thay đổi cách truy cập SMITEY”. Dữ liệu của bạn vẫn ở nguyên chỗ cũ.

Phương án “Chỉ trong mạng nội bộ, qua địa chỉ IP (HTTP) - phương án đơn giản nhất” là thiết lập mặc định. Nhóm của bạn mở hệ thống tại http:// kèm theo địa chỉ IP của máy chủ và cổng, ví dụ http://192.168.1.20:8088. Cổng là 8088, trừ khi bạn chọn cổng khác. Cổng 80 cũng được. Khi đó địa chỉ không cần cổng. Phương án này không cần tên và không cần chứng chỉ.

Phương án “Trong mạng nội bộ dưới một tên riêng (HTTP, có thể bật HTTPS sau) - bạn có DNS nội bộ” hoạt động như phương án đầu tiên, nhưng dưới một tên như ticket.company.local. Bạn tự tạo tên này trong DNS nội bộ của mình. Tên đó trỏ đến địa chỉ IP của máy chủ. Sau đó nhóm của bạn truy cập hệ thống bằng tên và vẫn truy cập được bằng địa chỉ IP. Khi đó trình cài đặt hiển thị địa chỉ với tên này.

Với cả hai phương án HTTP, mật khẩu và ticket đi qua mạng của bạn dưới dạng văn bản thường. Khi đó quản trị viên thấy một thông báo ở đầu trang.

Ba phương án còn lại dùng HTTPS: “Qua một tên miền công khai với HTTPS (tự động, dùng Let's Encrypt)”, “Trong mạng nội bộ với HTTPS và chứng chỉ của riêng bạn” và “Trong mạng nội bộ với HTTPS, chứng chỉ do SMITEY tạo”. Chúng cần cổng 80 và 443 trên máy chủ. Thẻ tiếp theo mô tả chúng.

Để thử lần đầu, phương án đầu tiên là đủ. Nếu mạng của bạn có DNS nội bộ, hãy chọn phương án thứ hai. Nếu hệ thống cần truy cập được từ internet, hãy chọn tên miền công khai. Nếu công ty bạn có tổ chức cấp chứng chỉ riêng, hãy chọn chứng chỉ của riêng bạn trong mạng nội bộ. Nếu không, hãy để SMITEY tạo chứng chỉ.

Không có HTTPS, mật khẩu và ticket đi qua mạng của bạn dưới dạng văn bản thường. Một bản cài đặt mới bắt đầu với HTTP thường, để chạy ngay trên bất kỳ trình duyệt web nào. Khi một quản trị viên mở hệ thống qua HTTP thường, một thông báo xuất hiện ở đầu trang: “This connection is not encrypted.” Nếu hệ thống được mở ngay trên máy chủ với địa chỉ “localhost”, thông báo không xuất hiện. Nhân viên xử lý và khách hàng không bao giờ thấy nó.

“How to switch on HTTPS” dẫn đến thẻ này. “Hide for 30 days” ẩn thông báo cho bạn. Thiết lập thuộc về tài khoản của bạn, nên cũng áp dụng trong trình duyệt khác. Sau 30 ngày, thông báo quay lại nếu kết nối vẫn chưa được mã hóa.

Trình cài đặt SMITEY thiết lập HTTPS theo ba cách. Trong trình cài đặt cho Windows, bạn chọn ở trang “Khả năng truy cập”, còn trên Linux, install.sh hỏi cùng câu hỏi đó. Với một hệ thống đang chạy, hãy mở “Thay đổi cách truy cập SMITEY” trên màn hình nền Windows hoặc trong menu Start. Trên Linux, lệnh bên dưới làm điều tương tự. Dữ liệu của bạn vẫn ở nguyên chỗ cũ.

Lựa chọn “Trong mạng nội bộ với HTTPS và chứng chỉ của riêng bạn” dùng chứng chỉ của riêng bạn, ví dụ từ CA của công ty bạn. Trình cài đặt hỏi tên của hệ thống và tệp chứng chỉ cùng khóa của nó. Một tệp PFX cùng mật khẩu của nó cũng được. Trước khi thay đổi bất cứ thứ gì, nó kiểm tra chứng chỉ. Khóa phải khớp, chứng chỉ phải còn hiệu lực và tên phải có trong chứng chỉ.

Lựa chọn “Trong mạng nội bộ với HTTPS, chứng chỉ do SMITEY tạo” không cần chứng chỉ của riêng bạn. SMITEY tự tạo một chứng chỉ và cũng tự gia hạn nó. Trình cài đặt lưu chứng chỉ gốc với tên SMITEY-root-ca.crt vào thư mục cài đặt. Hãy cài tệp này trên mọi máy tính làm chứng chỉ gốc tin cậy, ví dụ bằng chính sách nhóm. Cho đến lúc đó, trình duyệt hiện cảnh báo.

Lựa chọn “Qua một tên miền công khai với HTTPS (tự động, dùng Let's Encrypt)” lấy chứng chỉ từ Let’s Encrypt. Nó cần một tên miền công khai trỏ đến máy chủ. Vì vậy máy chủ phải truy cập được từ internet.

Với cả hai lựa chọn trong mạng nội bộ, tên có thể là một tên như ticket.company.local, một từ đơn như helpdesk hoặc một địa chỉ IPv4. Cả ba cách đều cần cổng 80 và 443 trên máy chủ. Nếu một chương trình khác đang dùng chúng, trình cài đặt dừng lại và không thay đổi gì. Sau đó hệ thống được truy cập tại https:// kèm theo tên, không có cổng.

Chứng chỉ của riêng bạn đến lúc nào đó sẽ hết hạn. Từ 30 ngày trước, quản trị viên thấy ở đầu trang một thông báo kèm ngày. Từ 7 ngày trước, thông báo có màu đỏ. Trong Professional, mọi quản trị viên có địa chỉ email còn nhận thêm một email 30 và 7 ngày trước. Để gia hạn, hãy mở lại “Thay đổi cách truy cập SMITEY”, chọn lựa chọn dùng chứng chỉ của riêng bạn và chỉ ra các tệp mới.

Tệp HTTPS-GUIDE.txt đi kèm bản cài đặt mô tả từng bước. Trong đó có việc phân phối chứng chỉ gốc và các bước làm thủ công.