Sync Devices: пароли для приложений синхронизации

При подключении rclone или открытии Drive в Finder не используйте обычный пароль TrekMail. Создайте отдельный device password на странице Sync devices в Dashboard.

Руководство объясняет, зачем каждому устройству свой пароль, как заполнить форму и что происходит при отзыве.

Кратко: каждому приложению нужны три значения

Не нужны сертификаты, дополнительные шаги или отдельные API tokens, только эти три значения.

Все руководства запрашивают те же поля, различаются лишь названия: "Server Address" в Finder, раздельные "Server" и "Path" в Cyberduck, "URL" в rclone.

Зачем отдельный пароль для каждого устройства

Пароль Dashboard открывает домены, ящики, Billing и аккаунт. Передавать его клиенту на теряемом ноутбуке, продаваемом телефоне или доступном другим backup script небезопасно.

Пароли устройств решают это тремя способами:

1. У каждого устройства свой пароль. Потерянный ноутбук можно отозвать, не перенастраивая остальные приложения.
2. Только выбранные разрешения. Read-only пароль на телефоне не удалит данные; backup script с edit может писать файлы, но не видит Billing history.
3. Показываются один раз и не хранятся открыто. TrekMail сохраняет только scrambled version, поэтому утечка базы Dashboard не раскрывает пароль.

Компромисс: нужно открыть Sync devices и создать пароль. Этому посвящена статья.

Где найти страницу

Теперь есть два места управления, зависящие от роли.

Из Dashboard для владельцев и администраторов

На боковой панели нажмите Drive, затем кнопку Sync devices со значком стрелок обновления на панели файлов. Также можно открыть /drive/devices.

Dashboard показывает полную картину: каждое устройство аккаунта, созданное администратором или пользователем ящика в Webmail. Под именем есть метка:

• 🖥 Created via dashboard: выдано администратором.
• ✉️ Created via webmail (name@example.com): выдано вошедшим пользователем ящика; адрес показывает, под каким аккаунтом.

Это важно для аудита и отключения сотрудника: администратор видит весь перечень и отзывает любую строку без пароля пользователя.

Из Webmail для пользователей без Dashboard

Пользователь вложенного ящика управляет своими паролями из Webmail: нажмите Drive, затем Sync devices. Список файлов встроенно заменяется экраном устройств без новой страницы или входа.

Webmail ограничен только этим ящиком:

• Пароль привязан к вошедшему ящику, доступ ко всему аккаунту недоступен.
• Предлагаются только View / Edit / Share / Empty trash для одного ящика. Account-wide scopes доступны лишь администратору.
• Список ограничен ящиком, пользователь управляет только своими данными доступа.

Форма, одноразовый показ, список и Revoke работают как в Dashboard, но ограничены потребностями ящика.

Список существующих устройств

На странице показаны:

• Your Drive server URL в копируемом поле. Используйте точный URL, поскольку host и path различаются по области.
• Список устройств, по одному на пароль: имя, разрешения вроде "View files" или "Edit mailbox files", последнее использование и статус Active, Expired или Revoked.
• Кнопка "Revoke" в каждой активной строке, немедленно останавливающая пароль.

Если подключений нет, отображается "Nothing connected yet" с кнопкой той же формы.

Добавление устройства

Нажмите + Add new device справа вверху. В модальном окне доступны:

What is this device? Видимое только вам имя: "Office MacBook", "Phone backup", "rclone on home server". До 64 символов. Placeholder: "e.g. Work laptop".

Имена должны быть уникальными среди активных устройств, для ящика в Webmail или scope в Dashboard. Повтор активного имени отклоняется с предложением другого имени или отзыва. После отзыва имя освобождается сразу.

What can this device do? Список разрешений. По умолчанию выбраны View files и Edit files, подходящие для rclone, Finder, Explorer и Cyberduck:

• View files: просмотр и скачивание.
• Edit files: загрузка, переименование, перемещение и отправка в Trash.
• Create share links: создание общедоступных ссылок.
• Empty trash: окончательное удаление. Marked destructive красным кольцом, выключено по умолчанию и почти не нужно sync apps.

При выборе Limit to a specific mailbox появляются View mailbox files, Edit mailbox files, Share mailbox files и Empty mailbox trash. Они действуют только при ограничении одним ящиком. Account-wide password дает Account Drive, но не личные Drive всех ящиков.

Limit to a specific mailbox (optional) Секция свернута. Разверните для доступа только к одному ящику, выберите его из поиска, работающего и с 100+ ящиками, и оставьте разрешения по умолчанию.

When does it stop working? Кнопки: 30 days, 90 days, 1 year, Never. 1 year is the recommended default. Бессрочные пароли опасны после исчезновения устройства. Для временного доступа выберите меньший срок, Never только осознанно.

Generate password После нажатия модальное окно закрывается, а сверху появляется пароль dsync_… на янтарной панели. This is the only time you'll see it. Сразу скопируйте его в password manager, rclone config или Finder credentials. TrekMail не покажет его снова.

Если забыли, отзовите пароль и создайте новый.

Отзыв устройства

При потере устройства или уходе сотрудника нажмите Revoke, затем Revoke password. Пароль прекращает работать немедленно, включая текущую синхронизацию. Следующее подключение получает sign-in failure.

Отозванные устройства остаются в истории с последним использованием для расследований. Terminal history автоматически ограничена, поэтому старый отзыв не мешает создать замену навсегда.

Cross-surface revocation works in both directions. Строку Webmail можно отозвать в Dashboard. Строку Dashboard можно отозвать в Webmail лишь если она была ограничена этим ящиком; account-wide строки там не видны и остаются admin-only.

Типовые схемы

Распространенные варианты:

• По одному на машину с ее именем. "Office MacBook", "Home iMac", "Linux backup server". Просто проверять и отзывать.
• По одному на приложение, если их несколько. "MacBook, rclone", "MacBook, Finder". Можно отозвать rclone, не ломая Finder.
• Короткоживущие пароли для подрядчиков. 30 days, view-only, ограничение одним ящиком; срок автоматически завершает доступ.

Что дальше

С созданным паролем продолжите в руководстве для платформы:

• Подключить Drive в macOS Finder
• Подключить Drive в Windows Explorer
• Подключить Drive через Cyberduck
• Подключить Drive через rclone
• Подключить Drive на Android через DAVx⁵
• Подключить Drive на iPhone через Documents

При проблемах смотрите Устранение неполадок Drive Sync. Часто помогает новый пароль устройства.