Všetko, čo panel zbiera, zostáva na vašom serveri: bezpečnostné udalosti, metriky, správy a nastavenia sú v databáze MySQL a v adresári data/, ktorý je mimo koreňa webu.

Vaše logy, udalosti, IP adresy ani metriky nedostávame. Panel žije na vašom serveri a údaje k nám neodchádzajú.

Rozhranie panela nič nenačítava z cudzích serverov: písma, ikony, grafy aj mapa útokov sa dodávajú s ním. Počítadlá návštev ani analytika v paneli nie sú.

Bezpečnostné udalosti sa uchovávajú 90 dní, potom sa automaticky vymažú.

Nižšie je úplný zoznam spojení, ktoré otvára samotný panel. Takmer všetky fungujú len vtedy, ak ste ich nastavili.

Licencia sa overuje na vašom serveri podľa digitálneho podpisu: panel sa nás nepýta, či je platná. Panel sám nehľadá ani nesťahuje aktualizácie.

Nástroje ochrany si svoje databázy aktualizujú samy, zo svojich serverov a podľa vlastného plánu: signatúry ClamAV, pravidlá Suricata a CrowdSec, zoznam škodlivých adries ipsum. Sú to spojenia samotných nástrojov; panel sa na nich nezúčastňuje. CrowdSec predvolene zdieľa signály o útokoch so svojou komunitou; nastavuje sa to priamo v CrowdSec.

Prihlásenie heslom a druhým faktorom: hardvérovým kľúčom alebo prístupovým kľúčom (WebAuthn: YubiKey, Touch ID, Windows Hello, passkey). Kľúče WebAuthn fungujú len cez HTTPS.

Obmedzenie podľa IP, ak ste ho zapli: panel sa otvorí len z povolených adries, ostatné dostanú odmietnutie ešte pred prihlasovacou stránkou.

Ochrana proti hádaniu hesla: po 5 chybných pokusoch z jednej adresy sa z nej prihlásenie na 15 minút zablokuje.

Ochrana proti podvrhnutým požiadavkám: každé tlačidlo, ktoré niečo mení, overuje tajný token vašej relácie. Cudzí web ho nemôže stlačiť za vás, ani keď ste práve prihlásení do panela.

Panel beží pod používateľom webového servera, bez práv root.

Cez sudo má povolený krátky zoznam príkazov zo súboru /etc/sudoers.d/monitor. Takmer všetky len čítajú stav nástrojov: UFW, fail2ban, CrowdSec, ipset, auditd, Monit, AppArmor a ďalších. Meniť môže panel len dve veci: blokovať a odblokovať adresu vo fail2ban a pridávať alebo odoberať pravidlá portov v UFW, po vašom kliknutí na stránke modulu. Shell, ľubovoľné príkazy ani inštalácia balíkov v zozname nie sú.

Do kódu panela webový server zapisovať nemôže: zapisuje len do adresárov údajov, vyrovnávacej pamäte a logov.

Príkazy z rád na opravu panel sám nespúšťa: skopírujete ich a spustíte v termináli.

Server chránia samotné nástroje: fail2ban, UFW, Suricata, CrowdSec, ClamAV, AIDE. Panel ukazuje ich prácu a radí, čo opraviť. Keď licencia vyprší, podrobné stránky modulov sa zatvoria a správa sa skráti, ale nástroje pracujú ďalej ako predtým. Server nezostane bez ochrany.

Ak ste v paneli našli zraniteľnosť, napíšte na support@arciveo.com. Kontakt je uvedený aj v security.txt.