Semua yang dikumpulkan panel tetap berada di server Anda: peristiwa keamanan, metrik, laporan, dan pengaturan disimpan di basis data MySQL dan di direktori data/, yang berada di luar root situs.

Kami tidak menerima log, peristiwa, alamat IP, maupun metrik Anda. Panel hidup di server Anda, dan data tidak sampai ke kami.

Antarmuka panel tidak memuat apa pun dari server lain: fon, ikon, grafik, dan peta serangan disertakan bersamanya. Panel tidak memiliki penghitung kunjungan maupun analitik.

Peristiwa keamanan disimpan selama 90 hari, lalu dihapus otomatis.

Berikut daftar lengkap koneksi yang dibuka oleh panel itu sendiri. Hampir semuanya hanya berjalan jika Anda telah mengaturnya.

Lisensi diperiksa di server Anda berdasarkan tanda tangan digital: panel tidak menghubungi kami untuk mengetahui apakah lisensi masih berlaku. Panel sendiri tidak mencari maupun mengunduh pembaruan.

Alat perlindungan memperbarui basis datanya sendiri, dari server mereka sendiri dan sesuai jadwal mereka sendiri: tanda tangan ClamAV, aturan Suricata dan CrowdSec, daftar alamat berbahaya ipsum. Itu adalah koneksi milik alat-alat tersebut; panel tidak terlibat. Secara bawaan CrowdSec bertukar sinyal serangan dengan komunitasnya; ini diatur di CrowdSec sendiri.

Login dengan kata sandi dan faktor kedua: kunci perangkat keras atau kunci sandi (WebAuthn: YubiKey, Touch ID, Windows Hello, passkey). Kunci WebAuthn hanya berfungsi melalui HTTPS.

Pembatasan IP, jika Anda mengaktifkannya: panel hanya terbuka dari alamat yang diizinkan, dan yang lain ditolak bahkan sebelum halaman login.

Perlindungan dari penebakan kata sandi: setelah 5 percobaan salah dari satu alamat, login dari alamat itu ditutup selama 15 menit.

Perlindungan dari permintaan palsu: setiap tombol yang mengubah sesuatu memeriksa token rahasia sesi Anda. Situs lain tidak dapat menekannya atas nama Anda, meskipun saat itu Anda sedang login ke panel.

Panel berjalan sebagai pengguna server web, tanpa hak root.

Melalui sudo, panel diizinkan menjalankan daftar perintah singkat dari berkas /etc/sudoers.d/monitor. Hampir semuanya hanya membaca status alat: UFW, fail2ban, CrowdSec, ipset, auditd, Monit, AppArmor, dan lainnya. Panel hanya dapat mengubah dua hal: memblokir dan membuka blokir alamat di fail2ban, serta menambah atau menghapus aturan port di UFW, saat Anda menekan tombol di halaman modul. Daftar ini tidak memuat shell, perintah bebas, maupun pemasangan paket.

Server web tidak dapat menulis ke kode panel: hanya dapat menulis ke direktori data, cache, dan log.

Panel tidak menjalankan sendiri perintah dari petunjuk perbaikan: Anda menyalinnya dan menjalankannya di terminal.

Server dilindungi oleh alat-alat itu sendiri: fail2ban, UFW, Suricata, CrowdSec, ClamAV, AIDE. Panel menampilkan kerja mereka dan menyarankan apa yang perlu diperbaiki. Saat lisensi berakhir, halaman rinci modul ditutup dan laporan menjadi lebih ringkas, sementara alat-alat tetap bekerja seperti sebelumnya. Server tidak dibiarkan tanpa perlindungan.

Jika Anda menemukan kerentanan di panel, tulis ke support@arciveo.com. Kontak ini juga tercantum di security.txt.