Securitate

Autentificarea

• Parolele trebuie să aibă cel puțin 12 caractere; parolele comune și cele scurse sunt refuzate.
• Autentificarea în doi pași: o aplicație de autentificare (TOTP) sau un passkey (Face ID, Touch ID, Windows Hello, o cheie de securitate). Passkey-urile pot înlocui complet și parola. Păstrează codurile de recuperare afișate când activezi 2FA.
• Un administrator poate impune 2FA pentru toată lumea din organizație.
• Adăugarea sau eliminarea unui factor îți cere din nou parola sau un cod, iar tu primești un e-mail despre asta.
• După 10 factori secundari greșiți într-o zi, al doilea factor al contului este blocat 15 minute (mai mult dacă se repetă), iar tu ești anunțat prin e-mail.
• Sesiuni: vezi unde ești autentificat și deconectează alte dispozitive din propria pagină de securitate.
• Autentificările eșuate repetate dintr-o rețea sunt blocate 15 minute.

Site-uri: firewall-ul pentru aplicații web

Fiecare site poate rula în spatele unui WAF (Coraza cu OWASP Core Rule Set) în unul din trei moduri: dezactivat, detectare (doar jurnalizare) sau blocare. Site-urile noi pornesc în modul implicit al organizației tale. Poți crește nivelul de paranoia, poți exclude o regulă pentru o cale când blochează ceva legitim și poți adăuga antete de securitate (inclusiv un Content-Security-Policy). Cererile blocate și detectate apar în jurnalul WAF al site-ului timp de 30 de zile.

Servere: firewall, țări și blocări

• Reguli de firewall pentru fiecare server și reguli pe țări pentru HTTPS și SFTP (permiți doar unele țări sau blochezi unele), pe baza bazei de date de țări DB-IP Lite. Serviciile de e-mail pot avea regulile lor.
• Protecția anti-brute-force blochează o adresă după autentificări eșuate repetate, de exemplu la SFTP sau e-mail. Blocările sunt listate în panou și pot fi ridicate manual; o blocare IPv6 acoperă toată rețeaua /64.

Jurnalul de audit

Fiecare acțiune din panou și din API este scrisă într-un jurnal de audit pe care nici contul de bază de date al panoului nu îl poate rescrie. Fiecare intrare este înlănțuită cu cea anterioară printr-un hash, iar o ancoră zilnică semnată este stocată șapte ani pe un spațiu de stocare care nu poate fi rescris; o modificare făcută direct în baza de date este detectată și ridicată ca alertă. Organizația ta își poate căuta jurnalul și îl poate exporta (CSV sau JSON). Adresele IP din jurnal sunt scurtate la rețeaua lor după 90 de zile.

Sistemul de operare și dependențele

PlusPanel OS și agentul sunt actualizate de noi; vezi Actualizări de securitate ale OS. Site-urile WordPress sunt verificate zilnic pentru pluginuri vulnerabile și fișiere plantate; vezi Scanarea de securitate WordPress.

Raportarea unei vulnerabilități

Scrie la ops@pluspanel.net cu „security” în subiect.