Operar el servidor

Administración y ajustes

Panel de administración, entrega de códigos de registro (SMS y correo electrónico), valores de configuración del servidor, copias de seguridad y seguridad: una referencia para operadores.

El servidor incluye un panel de administración que se abre en el navegador. Desde él se consulta el estado del servidor, se decide cómo se entregan los códigos de registro e inicio de sesión y se gestionan los usuarios y los bots. Este documento es una referencia que reúne en un solo lugar el panel de administración y los valores de configuración del servidor. Si primero tienes que instalarlo, consulta Instalar el servidor.

Por ahora, la interfaz del panel de administración solo está en coreano. En este documento, las pestañas, los botones y los ajustes aparecen traducidos y, junto a ellos, el texto en coreano tal como se ve en pantalla; por ejemplo: Ajustes (설정).

Abrir el panel de administración

El panel de administración está en /admin/ del puerto HTTP de administración (8080 en la configuración de producción) y solo se abre desde el propio servidor (127.0.0.1). El operador entra mediante un túnel SSH.

# En tu ordenador (déjalo abierto)
ssh -N -L 8080:127.0.0.1:8080 <usuario>@<servidor>
# Navegador: http://localhost:8080/admin/

# Token (en el servidor)
sudo cat /srv/pabal/pabal_server/data/admin-token

Introduce el token y pulsa Abrir (열기). El navegador recuerda el token, y se borra con Borrar token (토큰 지우기), arriba a la derecha. Si quieres fijar tú el token, define TELEGRAM_ADMIN_TOKEN (al menos 16 caracteres); en ese caso no se escribe el archivo.

Qué muestra cada pestaña

Las acciones peligrosas (cerrar sesiones, bloquear, cancelar códigos) solo se ejecutan si se pulsan dos veces.

Códigos de registro e inicio de sesión

Cuando alguien introduce su número de teléfono en la aplicación, el servidor genera un código y lo envía por el método elegido en la pestaña Ajustes (설정).

• Con el método de correo electrónico, en un registro nuevo se puede usar cualquier dirección, y esa dirección pasa a ser el correo de inicio de sesión de la cuenta. Las cuentas existentes solo lo reciben en su correo de inicio de sesión registrado: así se impide que alguien entre poniendo su propia dirección con el número de otra persona. A las cuentas existentes sin correo de inicio de sesión se les envía en su lugar por SMS (si está configurado) o por el panel de administración. En la pestaña Usuarios (사용자) puedes asignarles un correo de inicio de sesión.
• El envío se hace en segundo plano, así que la aplicación pasa enseguida a la pantalla del código. El resultado del envío (éxito o fallo, y el motivo) aparece en la pestaña Códigos de registro.
• El registro (introducir el nombre) solo es posible después de acertar el código. Los códigos incorrectos se admiten solo hasta el número de intentos permitido; a partir de ahí se rechaza incluso el código correcto.

Ajustes — registro e inicio de sesión

Ajustes — SMS

En el texto del mensaje (문구) puedes incluir {code} (el código) y {minutes} (el tiempo de validez). Valor por defecto: [파발] 인증 코드: {code} («[Pabal] Código de verificación: {code}»). Después de guardar, compruébalo con Envío de prueba (테스트 발송).

Ajustes — correo electrónico (SMTP)

La dirección remitente (보내는 주소) debe ser una desde la que la cuenta SMTP pueda enviar. En el asunto (제목) y en el cuerpo (본문) también se usan {code} y {minutes}.

Gestión de usuarios

• Cerrar sesión en todos los dispositivos (모든 기기 로그아웃): corta todos los inicios de sesión (claves de autorización) de esa cuenta. Se usa con usuarios que han perdido un dispositivo.
• Bloquear número (번호 차단): ese número no puede recibir códigos, y la cuenta de ese número cierra sesión al instante en todos los dispositivos. Equivale a la lista de bloqueo de números de teléfono (전화번호 차단) de la pestaña Ajustes (설정).
• Correo de inicio de sesión (로그인 이메일): lo necesitan las cuentas existentes para iniciar sesión por correo con el método de correo electrónico.
• @BotFather es un bot interno del servidor, así que no se le puede cerrar la sesión.

Gestión de bots

En la pestaña Bots (봇) se ve el modo de conexión de cada bot: si está conectado por MTProto, si ha llamado a getUpdates por HTTP en el último minuto, cuál es la dirección de su webhook y si está fallando ahora (con el motivo). Si las actualizaciones pendientes no dejan de aumentar, el programa del bot se ha detenido o el webhook está fallando. Eliminar un bot o emitir un token nuevo lo hace quien creó el bot, desde @BotFather.

Variables de entorno

El servidor lee el archivo de configuración (server-config.json) y después lo sobrescribe con las variables de entorno. El archivo compose de producción ya fija los valores de abajo, así que normalmente basta con modificar .env.

Archivos de datos

Notas de seguridad

• No abras el puerto de administración directamente a internet. En la configuración de producción, Caddy bloquea con un 404 las rutas de administración como /admin, /health o /metrics.
• Todas las peticiones de datos de administración requieren Authorization: Bearer <token>, y las páginas de otros sitios no pueden leerlos.
• Los secretos de SMS y SMTP solo están en operations.json; la pantalla y la API solo indican «guardado» (저장됨). Si guardas con un campo de secreto vacío, se mantiene el valor anterior.
• Los tokens y los secretos no se escriben en los logs, y los números de teléfono aparecen enmascarados. Las direcciones de la Bot API (que incluyen el token) tampoco se registran.
• Las claves de autorización están en la base de datos, así que quien tenga acceso a la base de datos puede descifrar el tráfico de los usuarios. Protege la base de datos y las copias de seguridad tanto como la clave RSA.

Limitaciones

• Los códigos pendientes y el historial reciente están en memoria, así que se pierden al reiniciar el servidor (basta con volver a pedirlos desde la aplicación).
• El envío real a través de cada proveedor de SMS hay que comprobarlo con la cuenta de cada proveedor. El servidor construye las peticiones según la documentación de cada proveedor.
• Lo que todavía no existe: eliminar cuentas, eliminar bots a la fuerza, leer mensajes, ver logs, gráficos.