Een kwetsbaarheid melden
Meld beveiligingsproblemen vertrouwelijk, niet in een openbare melding: open het tabblad Security van de repository en klik op Report a vulnerability, met de betrokken versie en hoe het te reproduceren is. We bevestigen meldingen binnen enkele werkdagen, lossen bevestigde problemen op in een nieuwe release en noemen de melder in de release-opmerkingen, tenzij die dat liever niet heeft.
Beveiligingsoplossingen verschijnen voor de nieuwste versie. Machineleesbaar contact: security.txt.
Hoe BackupZit uw gegevens beschermt
Back-ups
AES-256-GCM-versleuteling, sleutels beschermd door een herstelsleutel (Argon2id), elk blok bij het terugzetten gecontroleerd met zijn SHA-256-hash. Onveranderbare opslag met S3 Object Lock of de geharde repository; ransomwaredetectie en automatische hersteltests.
Console
HttpOnly- en SameSite=Strict-sessiecookies, bescherming tegen CSRF en clickjacking, een strikte Content-Security-Policy, beperking van aanmeldpogingen, tweestapsaanmelding, rollen, optioneel vier-ogenprincipe en een via hashes gekoppeld auditlog dat naar een syslogserver of SIEM kan worden gestuurd.
Agents
Agents maken uitgaand verbinding met de console — geen open poorten op beschermde machines — en leggen bij registratie het certificaat van de console vast. Elke agent heeft een eigen geheim; geheimen op de console worden versleuteld opgeslagen.
Alleen uw netwerk
Geen clouddienst, geen telemetrie, geen account bij ons. De updatecontrole haalt ondertekende releases van GitHub; consoles zonder internet worden bijgewerkt door releasebestanden te uploaden.
Hoe releases worden beschermd
- Elke release is ondertekend met de Ed25519-releasesleutel van BackupZit; consoles en agents controleren handtekening en checksums voordat ze een update installeren.
- Het installatiescript controleert de handtekening en checksum van de release die het downloadt.
- Pakketten worden gebouwd vanuit getagde commits; images bevatten een schriftelijk aanbod voor de broncode (
SOURCE-CODE.txt). - Een console-update maakt eerst een back-up van de database en draait automatisch terug als de nieuwe versie niet start.
Hoe BackupZit wordt getest
Bij elke wijziging (GitHub Actions)
| Controle | Wat het vindt |
|---|---|
| CI | go vet en de volledige testsuite tegen ingebouwde PostgreSQL en SFTP-, S3- en vSphere-simulators; Windows-build |
| CodeQL | Injectie, path traversal, onveilige doorverwijzingen en andere fouten in de gegevensstroom (Go, JavaScript, workflows) |
| govulncheck | Bekende kwetsbaarheden in Go en in afhankelijkheden die de code echt aanroept |
| staticcheck | Bugs en dode code |
| Dependabot | Kwetsbare of verouderde Go-modules en actions |
| Secret scanning | Per ongeluk vastgelegde inloggegevens (met pushbescherming) |
| OpenSSF Scorecard | Toeleveringsketenpraktijken van de repository |
Vóór releases (in een testlab)
| Controle | Wat het vindt |
|---|---|
| gosec | Onveilige Go-patronen: uitvoeren van opdrachten, bestandsrechten, zwakke cryptografie |
| Semgrep | Injectie, XSS, onveilige cookies, open doorverwijzingen (Go, JavaScript, geheimen, OWASP Top 10-regels) |
| Trivy | Kwetsbare afhankelijkheden, geheimen en verkeerde configuraties |
| Gitleaks | Geheimen in de volledige git-geschiedenis |
| OWASP ZAP | Volledige scan, aangemeld als beheerder: XSS, SQL-injectie, CSRF, path traversal, headerproblemen |
| OpenVAS en nmap | Kwetsbaarheden op netwerkniveau, open poorten en TLS-instellingen van de appliance |
| End-to-end QA | Back-up en herstel van elke ondersteunde bron naar elk opslagtype op echte systemen; rollen, LDAP/SSO, API |
Bevindingen worden vóór de release opgelost; geaccepteerde risico’s staan in de release-opmerkingen.
Deze website
backupzit.com is een statische website: geen cookies, geen analyse, geen tracking, geen scripts of lettertypen van derden en een Content-Security-Policy die helemaal geen scripts toestaat. Zie het privacybeleid.