Relatar uma vulnerabilidade
Relate problemas de segurança em particular, não em um relato público: abra a aba Security do repositório e clique em Report a vulnerability, informando a versão afetada e como reproduzir. Confirmamos os relatos em poucos dias úteis, corrigimos os problemas confirmados em uma nova versão e damos crédito a quem relatou nas notas da versão, a menos que prefira o contrário.
As correções de segurança são publicadas para a versão mais recente. Contato legível por máquina: security.txt.
Como o BackupZit protege seus dados
Backups
Criptografia AES-256-GCM, chaves protegidas por uma chave de recuperação (Argon2id), cada bloco verificado pelo hash SHA-256 na restauração. Armazenamento imutável com S3 Object Lock ou o repositório reforçado; detecção de ransomware e testes de restauração automáticos.
Console
Cookies de sessão HttpOnly e SameSite=Strict, proteção contra CSRF e clickjacking, uma Content-Security-Policy rigorosa, limite de tentativas de login, login em dois fatores, funções, aprovação de quatro olhos opcional e um log de auditoria encadeado por hash que pode ser enviado a um servidor syslog ou SIEM.
Agentes
Os agentes se conectam ao console por conexões de saída — sem portas abertas nas máquinas protegidas — e fixam o certificado do console no registro. Cada agente tem seu próprio segredo; os segredos são armazenados criptografados no console.
Apenas a sua rede
Sem serviço em nuvem, sem telemetria, sem conta conosco. A verificação de atualizações busca versões assinadas no GitHub; consoles sem internet são atualizados com o envio dos arquivos da versão.
Como as versões são protegidas
- Cada versão é assinada com a chave de publicação Ed25519 do BackupZit; consoles e agentes verificam a assinatura e os checksums antes de instalar uma atualização.
- O script de instalação verifica a assinatura e o checksum da versão que baixa.
- Os pacotes são compilados a partir de commits com tag; as imagens incluem uma oferta escrita do código-fonte (
SOURCE-CODE.txt). - Uma atualização do console faz primeiro o backup do banco e reverte automaticamente se a nova versão não iniciar.
Como o BackupZit é testado
A cada alteração (GitHub Actions)
| Verificação | O que encontra |
|---|---|
| CI | go vet e o conjunto completo de testes com PostgreSQL embutido e simuladores de SFTP, S3 e vSphere; build para Windows |
| CodeQL | Injeção, path traversal, redirecionamentos inseguros e outros erros de fluxo de dados (Go, JavaScript, workflows) |
| govulncheck | Vulnerabilidades conhecidas no Go e nas dependências que o código realmente usa |
| staticcheck | Bugs e código morto |
| Dependabot | Módulos Go e actions vulneráveis ou desatualizados |
| Secret scanning | Credenciais enviadas por engano (com proteção no push) |
| OpenSSF Scorecard | Práticas da cadeia de suprimentos do repositório |
Antes das versões (em laboratório de testes)
| Verificação | O que encontra |
|---|---|
| gosec | Padrões inseguros em Go: execução de comandos, permissões de arquivos, criptografia fraca |
| Semgrep | Injeção, XSS, cookies inseguros, redirecionamentos abertos (Go, JavaScript, segredos, regras OWASP Top 10) |
| Trivy | Dependências vulneráveis, segredos e configurações incorretas |
| Gitleaks | Segredos em todo o histórico do git |
| OWASP ZAP | Varredura completa com login de administrador: XSS, injeção de SQL, CSRF, path traversal, problemas de cabeçalhos |
| OpenVAS e nmap | Vulnerabilidades de rede, portas abertas e configurações TLS do appliance |
| QA de ponta a ponta | Backup e restauração de cada origem compatível em cada tipo de armazenamento em sistemas reais; funções, LDAP/SSO, API |
Os problemas encontrados são corrigidos antes da publicação; riscos aceitos são documentados nas notas da versão.
Este site
backupzit.com é um site estático: sem cookies, sem análises, sem rastreamento, sem scripts ou fontes de terceiros e com uma Content-Security-Policy que não permite nenhum script. Veja a política de privacidade.