Segnalare una vulnerabilità
Segnala i problemi di sicurezza in privato, non in una segnalazione pubblica: apri la scheda Security del repository e fai clic su Report a vulnerability, indicando la versione interessata e come riprodurre il problema. Confermiamo le segnalazioni entro pochi giorni lavorativi, correggiamo i problemi confermati in una nuova release e citiamo chi li ha segnalati nelle note di rilascio, salvo diversa preferenza.
Le correzioni di sicurezza vengono rilasciate per la versione più recente. Contatto leggibile dalle macchine: security.txt.
Come BackupZit protegge i tuoi dati
Backup
Crittografia AES-256-GCM, chiavi protette da una chiave di ripristino (Argon2id), ogni blocco verificato tramite hash SHA-256 al ripristino. Storage immutabile con S3 Object Lock o il repository protetto; rilevamento del ransomware e test di ripristino automatici.
Console
Cookie di sessione HttpOnly e SameSite=Strict, protezione da CSRF e clickjacking, una Content-Security-Policy rigorosa, limiti ai tentativi di accesso, accesso a due fattori, ruoli, approvazione a quattro occhi opzionale e un registro di audit concatenato tramite hash inviabile a un server syslog o a un SIEM.
Agenti
Gli agenti si collegano in uscita alla console — nessuna porta aperta sulle macchine protette — e fissano il certificato della console al momento della registrazione. Ogni agente ha il proprio segreto; i segreti sulla console sono salvati crittografati.
Solo la tua rete
Nessun servizio cloud, nessuna telemetria, nessun account da noi. Il controllo degli aggiornamenti scarica release firmate da GitHub; le console senza Internet si aggiornano caricando i file della release.
Come sono protette le release
- Ogni release è firmata con la chiave di rilascio Ed25519 di BackupZit; console e agenti verificano firma e checksum prima di installare un aggiornamento.
- Lo script di installazione verifica firma e checksum della release che scarica.
- I pacchetti sono compilati da commit con tag; le immagini contengono un’offerta scritta del codice sorgente (
SOURCE-CODE.txt). - Un aggiornamento della console esegue prima il backup del database e torna automaticamente indietro se la nuova versione non si avvia.
Come viene testato BackupZit
A ogni modifica (GitHub Actions)
| Controllo | Cosa trova |
|---|---|
| CI | go vet e la suite di test completa con PostgreSQL integrato e simulatori SFTP, S3 e vSphere; build per Windows |
| CodeQL | Injection, path traversal, redirect non sicuri e altri errori nel flusso dei dati (Go, JavaScript, workflow) |
| govulncheck | Vulnerabilità note in Go e nelle dipendenze effettivamente richiamate dal codice |
| staticcheck | Bug e codice inutilizzato |
| Dependabot | Moduli Go e action vulnerabili o obsoleti |
| Secret scanning | Credenziali inserite per errore nel codice (con protezione al push) |
| OpenSSF Scorecard | Pratiche della supply chain del repository |
Prima delle release (in laboratorio di test)
| Controllo | Cosa trova |
|---|---|
| gosec | Schemi Go non sicuri: esecuzione di comandi, permessi dei file, crittografia debole |
| Semgrep | Injection, XSS, cookie non sicuri, redirect aperti (Go, JavaScript, segreti, regole OWASP Top 10) |
| Trivy | Dipendenze vulnerabili, segreti ed errori di configurazione |
| Gitleaks | Segreti in tutta la cronologia git |
| OWASP ZAP | Scansione completa con accesso da amministratore: XSS, SQL injection, CSRF, path traversal, problemi di intestazioni |
| OpenVAS e nmap | Vulnerabilità di rete, porte aperte e impostazioni TLS dell’appliance |
| QA end-to-end | Backup e ripristino di ogni origine supportata su ogni tipo di storage su sistemi reali; ruoli, LDAP/SSO, API |
I problemi riscontrati vengono corretti prima del rilascio; i rischi accettati sono documentati nelle note di rilascio.
Questo sito
backupzit.com è un sito statico: niente cookie, niente analisi, niente tracciamento, niente script o font di terze parti e una Content-Security-Policy che non consente alcuno script. Vedi l’informativa sulla privacy.