Signaler une vulnérabilité
Merci de signaler les problèmes de sécurité en privé, pas dans un ticket public : ouvrez l’onglet Security du dépôt et cliquez sur Report a vulnerability, en indiquant la version concernée et comment reproduire le problème. Nous confirmons les signalements sous quelques jours ouvrés, corrigeons les problèmes confirmés dans une nouvelle version et citons la personne qui les a signalés dans les notes de version, sauf si elle préfère le contraire.
Les correctifs de sécurité sont publiés pour la dernière version. Contact lisible par machine : security.txt.
Comment BackupZit protège vos données
Sauvegardes
Chiffrement AES-256-GCM, clés protégées par une clé de récupération (Argon2id), chaque bloc vérifié par son hachage SHA-256 à la restauration. Stockage immuable avec S3 Object Lock ou le dépôt renforcé ; détection des rançongiciels et tests de restauration automatiques.
Console
Cookies de session HttpOnly et SameSite=Strict, protection CSRF et anti-clickjacking, Content-Security-Policy stricte, limitation des tentatives de connexion, connexion à deux facteurs, rôles, principe des quatre yeux en option et journal d’audit chaîné par hachage pouvant être envoyé à un serveur syslog ou un SIEM.
Agents
Les agents se connectent en sortie à la console — aucun port ouvert sur les machines protégées — et épinglent le certificat de la console lors de l’enregistrement. Chaque agent a son propre secret ; les secrets sont stockés chiffrés sur la console.
Uniquement votre réseau
Pas de service cloud, pas de télémétrie, pas de compte chez nous. La vérification des mises à jour récupère des versions signées sur GitHub ; les consoles sans Internet se mettent à jour par envoi des fichiers de version.
Comment les versions sont protégées
- Chaque version est signée avec la clé de publication Ed25519 de BackupZit ; consoles et agents vérifient la signature et les sommes de contrôle avant d’installer une mise à jour.
- Le script d’installation vérifie la signature et la somme de contrôle de la version qu’il télécharge.
- Les paquets sont construits à partir de commits étiquetés ; les images contiennent une offre écrite de code source (
SOURCE-CODE.txt). - Une mise à jour de la console sauvegarde d’abord la base et revient automatiquement en arrière si la nouvelle version ne démarre pas.
Comment BackupZit est testé
À chaque modification (GitHub Actions)
| Contrôle | Ce qu’il trouve |
|---|---|
| CI | go vet et la suite de tests complète avec PostgreSQL embarqué et simulateurs SFTP, S3 et vSphere ; compilation Windows |
| CodeQL | Injections, traversée de chemins, redirections dangereuses et autres erreurs de flux de données (Go, JavaScript, workflows) |
| govulncheck | Vulnérabilités connues de Go et des dépendances réellement appelées |
| staticcheck | Bugs et code mort |
| Dependabot | Modules Go et actions vulnérables ou obsolètes |
| Secret scanning | Identifiants commités par erreur (avec protection au push) |
| OpenSSF Scorecard | Pratiques de chaîne d’approvisionnement du dépôt |
Avant les versions (en laboratoire de test)
| Contrôle | Ce qu’il trouve |
|---|---|
| gosec | Motifs Go dangereux : exécution de commandes, droits de fichiers, cryptographie faible |
| Semgrep | Injections, XSS, cookies non sécurisés, redirections ouvertes (Go, JavaScript, secrets, règles OWASP Top 10) |
| Trivy | Dépendances vulnérables, secrets et erreurs de configuration |
| Gitleaks | Secrets dans tout l’historique git |
| OWASP ZAP | Analyse complète connecté en administrateur : XSS, injection SQL, CSRF, traversée de chemins, problèmes d’en-têtes |
| OpenVAS et nmap | Vulnérabilités réseau, ports ouverts et réglages TLS de l’appliance |
| QA de bout en bout | Sauvegarde et restauration de chaque source prise en charge vers chaque type de stockage sur de vrais systèmes ; rôles, LDAP/SSO, API |
Les problèmes trouvés sont corrigés avant la publication ; les risques acceptés sont documentés dans les notes de version.
Ce site
backupzit.com est un site statique : pas de cookies, pas d’analyse d’audience, pas de pistage, pas de scripts ni de polices tiers, et une Content-Security-Policy qui n’autorise aucun script. Voir la politique de confidentialité.