脆弱性の報告
セキュリティ上の問題は公開の報告ではなく非公開でお知らせください。リポジトリの Security タブを開き、該当バージョンと再現方法を添えて Report a vulnerability をクリックします。報告は数営業日以内に確認し、確認した問題は新しいリリースで修正し、希望がない限り報告者をリリースノートに記載します。
セキュリティ修正は最新バージョンに対してリリースされます。機械可読の連絡先：security.txt。
BackupZit がデータを守るしくみ
バックアップ
AES-256-GCM 暗号化、リカバリーキーで保護された鍵（Argon2id）、復元時に SHA-256 ハッシュで検証される各チャンク。S3 Object Lock または堅牢化リポジトリによるイミュータブルストレージ、ランサムウェア検知、自動復元テスト。
コンソール
HttpOnly・SameSite=Strict のセッション Cookie、CSRF とクリックジャッキングの防止、厳格な Content-Security-Policy、サインイン試行回数の制限、2 要素サインイン、ロール、オプションの 4 アイズ承認、syslog サーバーや SIEM に送信できるハッシュチェーン型監査ログ。
エージェント
エージェントはコンソールへ外向きに接続し（保護対象マシンでポートを開ける必要はありません）、登録時にコンソールの証明書を固定します。各エージェントは固有のシークレットを持ち、コンソール上のシークレットは暗号化して保存されます。
あなたのネットワークだけで
クラウドサービスなし、テレメトリーなし、当社のアカウント不要。更新確認は GitHub から署名済みリリースを取得し、インターネットのないコンソールはリリースファイルのアップロードで更新します。
リリースの保護
- すべてのリリースは BackupZit の Ed25519 リリース鍵で署名され、コンソールとエージェントはアップデートのインストール前に署名とチェックサムを検証します。
- インストールスクリプトは、ダウンロードしたリリースの署名とチェックサムを検証します。
- パッケージはタグ付きコミットからビルドされ、イメージにはソースコード提供の書面（
SOURCE-CODE.txt）が含まれます。 - コンソールのアップデートは最初にデータベースをバックアップし、新しいバージョンが起動しない場合は自動的に元に戻します。
BackupZit のテスト
変更のたびに（GitHub Actions）
| チェック | 検出するもの |
|---|---|
| CI | go vet と、組み込み PostgreSQL および SFTP・S3・vSphere シミュレーターを使った完全なテストスイート、Windows ビルド |
| CodeQL | インジェクション、パストラバーサル、安全でないリダイレクトなどのデータフローの不具合（Go、JavaScript、ワークフロー） |
| govulncheck | Go と、コードが実際に呼び出す依存関係の既知の脆弱性 |
| staticcheck | バグとデッドコード |
| Dependabot | 脆弱または古い Go モジュールとアクション |
| Secret scanning | 誤ってコミットされた認証情報（プッシュ保護付き） |
| OpenSSF Scorecard | リポジトリのサプライチェーンの取り組み |
リリース前に（テストラボで）
| チェック | 検出するもの |
|---|---|
| gosec | 安全でない Go のパターン：コマンド実行、ファイル権限、弱い暗号 |
| Semgrep | インジェクション、XSS、安全でない Cookie、オープンリダイレクト（Go、JavaScript、シークレット、OWASP Top 10 ルール） |
| Trivy | 脆弱な依存関係、シークレット、設定ミス |
| Gitleaks | git 履歴全体に含まれるシークレット |
| OWASP ZAP | 管理者としてサインインした状態でのフルスキャン：XSS、SQL インジェクション、CSRF、パストラバーサル、ヘッダーの問題 |
| OpenVAS と nmap | ネットワークレベルの脆弱性、開いているポート、アプライアンスの TLS 設定 |
| エンドツーエンド QA | 対応するすべてのバックアップ元を、実システム上ですべての種類のストレージへバックアップ・復元。ロール、LDAP/SSO、API |
見つかった問題はリリース前に修正し、受け入れたリスクはリリースノートに記載します。
このウェブサイト
backupzit.com は静的サイトです。Cookie、アクセス解析、トラッキング、サードパーティのスクリプトやフォントはなく、スクリプトを一切許可しない Content-Security-Policy を設定しています。プライバシーポリシーをご覧ください。