Bezpečnost a aktualizace
Bezpečná už ve výchozím stavu, schválně nudná.
Firemní web by neměl potřebovat bezpečnostní plugin. Kaleta přichází s rozumným výchozím nastavením, podepsanými aktualizacemi, které bezpečnostní opravy nainstalují samy, automatickými zálohami databáze a firewallem, který zapnete, když ho potřebujete. Doplňky běží, jen když je zapne administrátor, a nouzový režim je vypne všechny.
Účty.
Dvoufázové přihlášení přes ověřovací aplikaci, přístupové klíče (passkeys), limit přihlášení z jedné IP adresy a zablokování účtu. Nepoužívané účty a napojení Clauda web nahlásí a může je automaticky pozastavit.
Podepsané aktualizace.
Každý balíček je podepsaný algoritmem Ed25519. Web před instalací ověří podpis i každý soubor, potom sám sebe zkontroluje, a když cokoli selže, vrátí předchozí soubory.
Zálohy.
Automatické zálohy databáze každý den, kdy se něco změnilo, jinak jednou týdně. Když nastavíte cíl FTPS nebo S3, kopírují se spolu s médii mimo server. Obnova se nejdřív ověří, a pokud je záloha poškozená, vrátí se zpět.
Bezpečný obsah.
HTML od uživatelů, kteří nejsou administrátoři, se čistí, vložený obsah je omezený na seznam povolených služeb, každý import prochází stejnými kontrolami a administrace běží pod přísnou Content Security Policy.
Soukromí.
Žádné skripty ani písma třetích stran, statistika bez cookies, poptávky smazané nebo anonymizované po nastavené době a žádosti o osobní údaje vyřízené na jednom místě.
Relace a formuláře.
Každý formulář administrace nese CSRF token, relace po nečinnosti vyprší a webhooky nesou podpis HMAC. Zapnutý firewall blokuje adresy, sítě i záplavy požadavků. SPF, DMARC, DKIM, certifikát i doména se kontrolují denně.
Aktualizace
Z GitHubu na váš web, ověřeně.
Nové verze vycházejí na GitHub Releases. Váš web je sám vyhledá, ověří podpis vydavatele a nainstaluje je v Nastavení → Zálohy a aktualizace, kde také vyberete kanál: Nejnovější (výchozí, nová menší verze každý týden) nebo Stabilní (bezpečnostní opravy a nová menší verze zhruba jednou za měsíc). Starší informace o aktualizacích, než jaké už web viděl, odmítne. Bezpečnostní vydání se ve výchozím nastavení instalují sama – po první instalaci už žádné FTP.
aktualizace.json
podpis
Ed25519
podepsáno na
počítači vydavatele, nikdy v CI
před instalací
záloha databáze
při selhání
automatický návrat zpět
Hlášení
Našli jste zranitelnost?
Nahlaste ji prosím soukromě na info@kaletacms.com, ne ve veřejném issue. Odpovíme do tří pracovních dnů.