Установка WECO — пошагово, с нуля

Перед началом убедитесь, что у вас есть:

• Файл weco_license.jwt — он пришёл во вложении к письму от noreply@nexaxt.com с темой «Ваша trial-ключ» или «Ваша лицензия». Сохраните его, например, в папку «Загрузки» / Downloads.
• Аккаунт у облачного провайдера, где будет работать ваша VM. Подойдёт любой: Hetzner (от €4/мес), Vultr, DigitalOcean, AWS, Yandex.Cloud и т.д. Если у вас уже есть аккаунт у любого из них — этого достаточно.
• Email и пароль для админки — вы их сами придумаете на шаге 4. Пароль минимум 12 символов.
• Что-то для записи паролей и ключей — менеджер паролей (1Password, Bitwarden, Apple/Google Passwords) или хотя бы текстовый файл на вашем компьютере, который вы потом удалите. Записывать в Telegram/Slack — нельзя.

Найдите письмо от noreply@nexaxt.com со вложенным файлом weco_license.jwt. Это и есть ваша лицензия — небольшой текстовый файл (~700 байт), он будет нужен на шаге 4.

Зайдите на сайт вашего облачного провайдера и создайте новую VM с такими параметрами:

• Операционная система: Ubuntu 22.04 LTS или 24.04 LTS (любая из этих двух). Это обязательно — другие ОС не поддерживаются.
• Размер: минимум 2 vCPU, 4 GB RAM, 30+ GB SSD. У большинства провайдеров это самый дешёвый или второй по цене план.
• Регион: любой. Если ваши клиенты в Европе — берите европейский регион; в Казахстане — российский или среднеазиатский.
• Публичный IP: должен быть включён по умолчанию. Запишите его — например, 203.0.113.42.
• SSH-ключ: провайдер предложит создать или загрузить SSH-ключ при создании VM. Создайте новый и сохраните файл (обычно id_rsa или vmname.pem) в папку ~/Downloads рядом с лицензией.

В конце шага у вас должно быть на руках три значения, запишите их в менеджер паролей:

1. IP-адрес VM: например 203.0.113.42.
2. Имя пользователя для SSH: у Hetzner это root, у DigitalOcean — root, у Yandex.Cloud — обычно ubuntu или user. Точное имя пишет провайдер при создании VM.
3. Файл с секретным SSH-ключом: например ~/Downloads/my-vm-key.pem.

Дальше нужно подготовить ваш SSH-ключ — задать ему правильные права доступа, иначе ssh откажется его использовать. В терминале выполните одну команду (можно скопировать кнопкой справа):

copy# Замените путь на свой реальный путь к ключу. Все три строки нужно выполнить подряд.
icacls "C:\Users\Имя\Downloads\my-vm-key.pem" /reset
icacls "C:\Users\Имя\Downloads\my-vm-key.pem" /inheritance:r
icacls "C:\Users\Имя\Downloads\my-vm-key.pem" /grant:r "$($env:USERNAME):R"

copy# Замените путь на свой реальный путь к ключу
chmod 600 ~/Downloads/my-vm-key.pem

copychmod 600 ~/Downloads/my-vm-key.pem

Проверьте, что вы можете подключиться к VM. Замените жёлтые значения на свои. Имя пользователя зависит от облачного провайдера — см. таблицу ниже:

copyssh -i ~/Downloads/my-vm-key.pem root@203.0.113.42

Если не уверены — провайдер показывает имя пользователя в карточке VM или в письме после создания. Если ssh говорит Permission denied (publickey), это почти всегда либо неправильный пользователь, либо неправильно зажатые права на ключ (см. шаг выше).

copyssh-keygen -R 203.0.113.42

На этом шаге одна команда сделает всё остальное: подключится к вашей VM, установит nginx + Postgres + код WECO, активирует лицензию, создаст вам первого admin-пользователя и выпустит SSL-сертификат.

Скачайте установщик с нашего сервера (одна команда в терминале):

copycurl.exe -LO https://weco.nexaxt.com/install-admin.sh

copycurl -LO https://weco.nexaxt.com/install-admin.sh
chmod +x install-admin.sh

copycurl -LO https://weco.nexaxt.com/install-admin.sh
chmod +x install-admin.sh

Теперь запустите его. Подставьте свои значения в жёлтые места (IP вашей VM, путь к SSH-ключу, путь к файлу лицензии, ваш email и пароль для админки):

copybash install-admin.sh \
    --vm-ip        203.0.113.42 \
    --ssh-key      ~/Downloads/my-vm-key.pem \
    --ssh-user     root \
    --license-file ~/Downloads/weco_license.jwt \
    --email        you@your-firm.com \
    --password     'ChooseAStrong12+Chars!'

copy& "C:\Program Files\Git\bin\bash.exe" install-admin.sh --vm-ip 203.0.113.42 --ssh-key 'C:/Users/Имя/Downloads/my-vm-key.pem' --ssh-user root --license-file 'C:/Users/Имя/Downloads/weco_license.jwt' --email you@your-firm.com --password 'ChooseAStrong12+Chars!'

copy./install-admin.sh \
    --vm-ip        203.0.113.42 \
    --ssh-key      ~/Downloads/my-vm-key.pem \
    --ssh-user     root \
    --license-file ~/Downloads/weco_license.jwt \
    --email        you@your-firm.com \
    --password     'ChooseAStrong12+Chars!'

copy./install-admin.sh \
    --vm-ip        203.0.113.42 \
    --ssh-key      ~/Downloads/my-vm-key.pem \
    --ssh-user     root \
    --license-file ~/Downloads/weco_license.jwt \
    --email        you@your-firm.com \
    --password     'ChooseAStrong12+Chars!'

Откройте в браузере адрес, который вам выдал установщик — обычно это https://<IP-вашей-VM> (тот самый IP, который вы записали на шаге 2).

Введите email и пароль из шага 4 — вы попали в админку. С этого момента вы можете заводить SPV-сайты, загружать compliance-PDF и публиковать их одной кнопкой.

Что доступно в админке:

• Создавать SPV-сайты по шаблону (11 готовых блоков: Hero, Documents, Contacts, FAQ и т.д.)
• Загружать PDF-документы — они автоматически защищены от прямого скачивания
• Привязывать домен к каждому SPV-сайту — Let's Encrypt SSL выпустится автоматически
• Заводить дополнительных админ-пользователей с разными ролями (RBAC)
• Смотреть audit log — кто и когда что менял
• Делать бэкапы и откаты в один клик

С релиза v0.0.102 WECO ужесточил три вещи. Это хорошие изменения для вашей безопасности — но они меняют ваши обязанности как оператора. Прочитайте каждое и поставьте галочку.

6.1 Лицензия теперь — ключ к данным (критично)

С v0.0.102 ваши зашифрованные данные (SSH-ключи хостов, bearer-токены, 2FA-секреты) расшифровываются ключом, вычисляемым как HKDF-SHA256(license_signature, MASTER_SECRET, "ff-admin-kek-v1") — то есть без файла лицензии расшифровать данные невозможно, даже если у вас есть MASTER_SECRET и dump БД.

Это защищает вас в двух сценариях: (1) утечка одной только БД больше не даёт доступ к секретам хостов; (2) при аннулировании лицензии (например, конец договора) старая БД становится «мёртвой» автоматически. Но это значит, что вы должны бэкапить три артефакта раздельно:

Установщик сохраняет лицензию в /etc/ff-admin/license.key (mode 0400, root-owned). Дополнительно скопируйте её в свой менеджер паролей сразу после установки.

6.2 Ваш установщик уникален — не передавайте URL

С v0.0.102 каждая компания получает персональный tarball: ваш customer_id (slug вашей компании) запечён в ~10 местах внутри сборки — в audit-логах, в HTTP-заголовках (x-build-tag), в HTML (<body data-ff-build="…">), в файле WHO_OWNS_THIS.txt внутри tarball, в имени файла ff-admin-vX.Y.Z-<ваш-id>.tar.gz, и в нескольких других местах.

Это означает: если ваш tarball «утечёт» (попадёт к третьим лицам), мы за 30 секунд определяем источник утечки по любому артефакту — заголовку запроса, JSON-логу, view-source страницы, имени файла. Это значимо юридически: договор (Master Services Agreement §3(e)) явно делает оператора ответственным за нераспространение.

6.3 Heartbeat — что и когда отсылается

Раз в час admin VM делает один HTTPS-запрос на https://nexaxt.com/api/weco/host-heartbeat. Это нужно нам для (а) проверки активности лицензии и (б) детектирования «параллельного» использования одной лицензии на нескольких VM (=явный признак перепродажи или утечки).

Что мы видим:

• Ваш license_id и customer_id — то, что вы и так нам сказали при покупке.
• Хеш SHA-256 от /etc/machine-id вашей VM — это не IP, не имя машины и не серийный номер; просто стабильная «отметина» Linux-инсталляции, по обратному значению восстановить ничего нельзя.
• Сколько хостов сейчас зарегистрировано в админке (число, не их IP/детали).
• Тег релиза (например v0.0.X) — для отслеживания распространённости версий.
• IP-адрес, с которого пришёл запрос (это в любом случае виден нам через DNS-A-запись вашего admin-домена, ничего нового).

Что мы НЕ видим: содержимое ваших SPV-сайтов, имена ваших клиентов, PDF-файлы, audit-лог админки, логины пользователей, конфиги хостов. Heartbeat не открывает входящих портов — это всегда исходящий запрос с вашей стороны.

Подробный список полей и срок хранения см. в Privacy Policy §«Heartbeat data».

6.4 Чек-лист после установки

«Permissions 0644 for ssh-key are too open» — права доступа к SSH-ключу слишком открытые. Вернитесь к шагу 3 и выполните команду chmod 600 (на Mac/Linux) или icacls (на Windows).

«Host key verification failed» / «WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED» / «ssh or sudo failed» при запуске install-admin.sh — почти всегда означает, что у вас в кэше осталась запись о старой VM с тем же IP (вы пересоздавали VM или этот IP когда-то использовался для другой машины). В терминале выполните одну команду — она удалит старый отпечаток ключа — и повторите шаг 4:

copyssh-keygen -R 203.0.113.42

«License JWT signature invalid» — файл лицензии повредился при сохранении. Откройте письмо ещё раз и сохраните вложение заново — не копируйте текст вручную, только сохранение через «Сохранить как».

Письмо с лицензией не пришло — проверьте папку «Спам». Если через 10 минут письма всё ещё нет — напишите на anton.orlov@nexaxt.com и укажите номер заявки (он был в первом письме «Подтвердите email»).

Установщик завис на «Issuing Let's Encrypt» — Let's Encrypt не может подтвердить домен. На самом первом запуске можно запускать без домена, тогда установщик пропустит этот шаг — браузер будет показывать «соединение не защищено» (это нормально, см. шаг 5). Когда привяжете домен — запустите команду повторно.

Что-то ещё — пришлите весь вывод терминала в письме на anton.orlov@nexaxt.com и укажите номер заявки. Ответим в течение 1 рабочего дня (Premium tier — 4 часа в рабочее время).