Alles wat het paneel verzamelt, blijft op uw server: beveiligingsgebeurtenissen, metrieken, rapporten en instellingen staan in een MySQL-database en in de map data/, buiten de webroot.

Wij ontvangen uw logs, gebeurtenissen, IP-adressen en metrieken niet. Het paneel leeft op uw server en de gegevens komen niet bij ons terecht.

De interface van het paneel laadt niets van andere servers: lettertypen, pictogrammen, grafieken en de aanvalskaart worden meegeleverd. Het paneel heeft geen bezoekerstellers of analytics.

Beveiligingsgebeurtenissen worden 90 dagen bewaard en daarna automatisch verwijderd.

Hieronder staat de volledige lijst van verbindingen die het paneel zelf opent. Bijna allemaal werken ze alleen als u ze hebt ingesteld.

De licentie wordt op uw server gecontroleerd aan de hand van de digitale handtekening: het paneel neemt geen contact met ons op om te weten of ze geldig is. Het paneel zoekt of downloadt zelf geen updates.

De beveiligingstools werken hun eigen databases zelf bij, vanaf hun eigen servers en volgens hun eigen schema: handtekeningen van ClamAV, regels van Suricata en CrowdSec, de lijst met kwaadaardige adressen ipsum. Dat zijn verbindingen van de tools zelf; het paneel neemt er geen deel aan. CrowdSec wisselt standaard aanvalssignalen uit met zijn community; dat stelt u in CrowdSec zelf in.

Aanmelden met wachtwoord en een tweede factor: een hardwaresleutel of een toegangssleutel (WebAuthn: YubiKey, Touch ID, Windows Hello, passkey). WebAuthn-sleutels werken alleen via HTTPS.

IP-beperking, als u die hebt ingeschakeld: het paneel opent alleen vanaf toegestane adressen, alle andere worden al vóór de aanmeldpagina geweigerd.

Bescherming tegen het raden van wachtwoorden: na 5 foute pogingen vanaf één adres wordt aanmelden vanaf dat adres 15 minuten geblokkeerd.

Bescherming tegen vervalste verzoeken: elke knop die iets wijzigt, controleert een geheim token van uw sessie. Een andere site kan er niet namens u op drukken, ook niet als u op dat moment in het paneel bent aangemeld.

Het paneel draait als de gebruiker van de webserver, zonder rootrechten.

Via sudo mag het een korte lijst opdrachten uit /etc/sudoers.d/monitor uitvoeren. Bijna alle lezen alleen de status van de tools: UFW, fail2ban, CrowdSec, ipset, auditd, Monit, AppArmor en andere. Het paneel kan maar twee dingen wijzigen: een adres in fail2ban blokkeren en deblokkeren, en poortregels in UFW toevoegen of verwijderen, wanneer u op de knop op de modulepagina drukt. In die lijst staan geen shell, geen willekeurige opdrachten en geen installatie van pakketten.

De webserver kan niet in de code van het paneel schrijven: alleen in de mappen voor gegevens, cache en logs.

De opdrachten uit de herstelhints voert het paneel niet zelf uit: u kopieert ze en voert ze uit in een terminal.

De server wordt beschermd door de tools zelf: fail2ban, UFW, Suricata, CrowdSec, ClamAV, AIDE. Het paneel toont hun werk en geeft aan wat er hersteld moet worden. Als de licentie verloopt, sluiten de gedetailleerde modulepagina’s en wordt het rapport korter, maar de tools blijven werken zoals voorheen. De server blijft niet onbeschermd.

Hebt u een kwetsbaarheid in het paneel gevonden, schrijf dan naar support@arciveo.com. Dit contact staat ook in security.txt.