Всичко, което панелът събира, остава на вашия сървър: събитията по сигурността, метриките, отчетите и настройките са в база MySQL и в директорията data/, която е извън корена на сайта.

Ние не получаваме вашите журнали, събития, IP адреси и метрики. Панелът живее на вашия сървър и данните не идват при нас.

Интерфейсът на панела не зарежда нищо от чужди сървъри: шрифтовете, иконите, графиките и картата на атаките се доставят заедно с него. В панела няма броячи на посещения и аналитика.

Събитията по сигурността се пазят 90 дни, след което се изтриват автоматично.

По-долу е пълният списък на връзките, които отваря самият панел. Почти всички работят само ако сте ги настроили.

Лицензът се проверява на вашия сървър по цифровия подпис: панелът не се обръща към нас, за да разбере дали е валиден. Самият панел не търси и не изтегля обновления.

Инструментите за защита обновяват базите си сами, от собствените си сървъри и по свой график: сигнатури на ClamAV, правила на Suricata и CrowdSec, списъкът със злонамерени адреси ipsum. Това са връзки на самите инструменти, панелът не участва в тях. CrowdSec по подразбиране обменя сигнали за атаки със своята общност; това се настройва в самия CrowdSec.

Вход с парола и втори фактор: хардуерен ключ или ключ за достъп (WebAuthn: YubiKey, Touch ID, Windows Hello, passkey). Ключовете WebAuthn работят само през HTTPS.

Ограничение по IP, ако сте го включили: панелът се отваря само от разрешени адреси, останалите получават отказ още преди страницата за вход.

Защита от налучкване на паролата: след 5 грешни опита от един адрес входът от него се затваря за 15 минути.

Защита от подправени заявки: всеки бутон, който променя нещо, проверява таен токен на вашата сесия. Чужд сайт не може да го натисне вместо вас, дори ако в този момент сте влезли в панела.

Панелът работи от името на потребителя на уеб сървъра, без права root.

Чрез sudo му е разрешен кратък списък с команди от файла /etc/sudoers.d/monitor. Почти всички само четат състоянието на инструментите: UFW, fail2ban, CrowdSec, ipset, auditd, Monit, AppArmor и други. Панелът може да променя само две неща: да блокира и отблокира адрес във fail2ban и да добавя или премахва правила за портове в UFW, при натискане на бутона на страницата на модула. В този списък няма обвивка, произволни команди и инсталиране на пакети.

Уеб сървърът не може да пише в кода на панела: може да пише само в директориите за данни, кеш и журнали.

Командите от подсказките за поправка панелът не изпълнява сам: вие ги копирате и ги стартирате в терминала.

Сървърът се защитава от самите инструменти: fail2ban, UFW, Suricata, CrowdSec, ClamAV, AIDE. Панелът показва работата им и подсказва какво да поправите. Когато лицензът изтече, подробните страници на модулите се затварят и отчетът се съкращава, а инструментите продължават да работят както преди. Сървърът не остава без защита.

Ако сте открили уязвимост в панела, пишете на support@arciveo.com. Контактът е посочен и в security.txt.