Güvenlik açığı bildirme
Güvenlik sorunlarını herkese açık bir bildirimle değil, gizli olarak bildirin: deponun Security sekmesini açın ve etkilenen sürümü ve yeniden oluşturma adımlarını belirterek Report a vulnerability'ye tıklayın. Bildirimleri birkaç iş günü içinde onaylar, onaylanan sorunları yeni bir sürümde düzeltir ve aksini tercih etmedikçe bildiren kişiyi sürüm notlarında anarız.
Güvenlik düzeltmeleri en yeni sürüm için yayımlanır. Makine tarafından okunabilir iletişim: security.txt.
BackupZit verilerinizi nasıl korur
Yedekler
AES-256-GCM şifreleme, bir kurtarma anahtarıyla korunan anahtarlar (Argon2id), geri yüklemede SHA-256 karmasıyla doğrulanan her parça. S3 Object Lock veya sağlamlaştırılmış depo ile değiştirilemez depolama; fidye yazılımı tespiti ve otomatik geri yükleme testleri.
Konsol
HttpOnly ve SameSite=Strict oturum çerezleri, CSRF ve clickjacking koruması, katı bir Content-Security-Policy, oturum açma denemelerinin sınırlanması, iki aşamalı oturum açma, roller, isteğe bağlı dört göz onayı ve bir syslog sunucusuna veya SIEM'e gönderilebilen, karmalarla zincirlenmiş denetim günlüğü.
Ajanlar
Ajanlar konsola giden bağlantıyla bağlanır — korunan makinelerde açık port yoktur — ve kayıt sırasında konsolun sertifikasını sabitler. Her ajanın kendi gizli anahtarı vardır; konsoldaki gizli bilgiler şifreli saklanır.
Yalnızca sizin ağınız
Bulut hizmeti yok, telemetri yok, bizde hesap yok. Güncelleme denetimi GitHub'dan imzalı sürümleri alır; internetsiz konsollar sürüm dosyaları yüklenerek güncellenir.
Sürümler nasıl korunur
- Her sürüm BackupZit Ed25519 sürüm anahtarıyla imzalanır; konsollar ve ajanlar bir güncellemeyi kurmadan önce imzayı ve sağlama toplamlarını doğrular.
- Kurulum betiği indirdiği sürümün imzasını ve sağlama toplamını doğrular.
- Paketler etiketli commit'lerden derlenir; imajlar yazılı bir kaynak kod teklifi içerir (
SOURCE-CODE.txt). - Bir konsol güncellemesi önce veritabanını yedekler ve yeni sürüm başlamazsa otomatik olarak geri döner.
BackupZit nasıl test edilir
Her değişiklikte (GitHub Actions)
| Denetim | Ne bulur |
|---|---|
| CI | go vet ve gömülü PostgreSQL ile SFTP, S3 ve vSphere simülatörlerine karşı tam test paketi; Windows derlemesi |
| CodeQL | Enjeksiyon, path traversal, güvensiz yönlendirmeler ve diğer veri akışı hataları (Go, JavaScript, iş akışları) |
| govulncheck | Go'da ve kodun gerçekten çağırdığı bağımlılıklarda bilinen güvenlik açıkları |
| staticcheck | Hatalar ve ölü kod |
| Dependabot | Güvenlik açığı olan veya eskimiş Go modülleri ve action'lar |
| Secret scanning | Yanlışlıkla eklenen kimlik bilgileri (push korumasıyla) |
| OpenSSF Scorecard | Deponun tedarik zinciri uygulamaları |
Sürümlerden önce (test laboratuvarında)
| Denetim | Ne bulur |
|---|---|
| gosec | Güvensiz Go kalıpları: komut çalıştırma, dosya izinleri, zayıf kriptografi |
| Semgrep | Enjeksiyon, XSS, güvensiz çerezler, açık yönlendirmeler (Go, JavaScript, gizli bilgiler, OWASP Top 10 kuralları) |
| Trivy | Güvenlik açığı olan bağımlılıklar, gizli bilgiler ve hatalı yapılandırmalar |
| Gitleaks | Tüm git geçmişindeki gizli bilgiler |
| OWASP ZAP | Yönetici olarak oturum açılmış tam tarama: XSS, SQL enjeksiyonu, CSRF, path traversal, başlık sorunları |
| OpenVAS ve nmap | Ağ düzeyindeki açıklar, açık portlar ve appliance'ın TLS ayarları |
| Uçtan uca QA | Desteklenen her kaynağın her depolama türüne gerçek sistemlerde yedeklenmesi ve geri yüklenmesi; roller, LDAP/SSO, API |
Bulgular sürümden önce düzeltilir; kabul edilen riskler sürüm notlarında belgelenir.
Bu web sitesi
backupzit.com statik bir sitedir: çerez yok, analiz yok, izleme yok, üçüncü taraf betik veya yazı tipi yok; hiçbir betiğe izin vermeyen bir Content-Security-Policy vardır. Bkz. gizlilik politikası.