WAF
Coraza ve OWASP Core Rule Set. Uygulamalarında varsayılan olarak açık.
Güvenlik
Güvenlik: ne var, ne yok
Panel, sunucunun Docker'ına eriştiği için güvenlik burada pazarlama değil, ana iş. Yerleşik katmanları ve bilinen sınırları açıkça yazıyoruz.
Yerleşik koruma katmanları
Hız sınırı ve otomatik ban
IP başına istek sınırı; tekrarlayan hatalı isteklerde otomatik IP banı; elle ban ve izin listesi.
Parola ve oturum
Parolalar scrypt ile saklanır. Oturum çerezi HttpOnly ve SameSite. İki adımlı doğrulama (TOTP).
Şifreli sırlar
Ortam değişkenleri, token'lar ve anahtarlar veritabanında AES-256-GCM ile şifreli saklanır.
Güvenlik başlıkları
Sıkı içerik güvenliği politikası (CSP), CSRF koruması, çerçeveleme engeli.
Docker güvenlik duvarı
Dışarıdan yalnız 80/443 ve senin açtığın veritabanı portları ulaşır; Docker'ın güvenlik duvarını atlaması engellenir.
İmzalı imajlar
Yayınlanan imajlar Sigstore (cosign) ile imzalanır; SBOM ve köken bilgisi imajla birlikte yayınlanır.
Webhook imzası
Git webhook'ları gizli anahtarla (HMAC) doğrulanır; imza zorunlu yapılabilir.
İmaj taraması
Deploy sonrası Trivy taraması; sonuç "ne yapmalısın" kartıyla gösterilir (bilgilendirir, deploy'u durdurmaz).
Bilinen sınırlar
Bunları saklamıyoruz; çünkü sunucunu bize emanet etmeden önce bilmelisin.
Yönetici, sunucuda root'a eşdeğerdir
Panel Docker soketine eriştiği için yönetici hesabı sunucuyu ele geçirebilir. Yöneticiler için iki adımlı doğrulamayı aç.
Üye rolü henüz güçlü bir güvenlik sınırı değil
Üye rolünü yalnız güvendiğin ekip arkadaşlarına ver. Bağımsız inceleme yetki denetimlerinde düzeltilmesi gereken eksikler buldu; üzerinde çalışılıyor.
Compose uygulamalarında yalıtım aşılabilir
Proje ağları tek konteynerli uygulamalar ve veritabanları için tasarlandı. Compose ile dağıtılan uygulamalarda bu yalıtımı şu an garanti etmiyoruz.
İmza doğrulamasının dışında kalan kurulumlar
1.3.1'den beri kurulum ve güncelleme imaj imzasını doğrular, doğrulanamazsa durur. Kaynaktan derlenen kurulumlar ve `XUDBIN_VERIFY=0` ile yapılanlar doğrulanmaz; 1.3.0'dan güncellenen paneller korumaya bir sonraki güncellemede geçer.
Yedekler şifresiz, doğrulama yalnız veritabanları için
Veritabanı ve klasör yedekleri şifresiz saklanır. "Doğrulanmış yedek" yalnız veritabanı yedeklerini kapsar.
Panelin kendi adresinde WAF yok
WAF uygulamalarını korur; panelin kendi adresinde yalnız hız sınırı var.
Bağımsız inceleme
2026-10-17'de panelin kaynak kodu bağımsız olarak, salt okunur biçimde incelendi. Bulgular yukarıdaki sınırlara yansıtıldı; kapatılmaları üzerinde çalışılıyor. Bu bir sızma testi değil, kod incelemesiydi; dinamik testleri ayrıca yapacağız.
Önerilerimiz
- Yönetici hesaplarında iki adımlı doğrulamayı aç.
- Üye rolünü yalnız güvendiğin kişilere ver.
- Panele erişimi mümkünse VPN ya da Cloudflare Tunnel arkasına al.
- Paneli güncel tut; yedeklerin geri yüklendiğini düzenli kontrol et.
Açık bildirimi
Bir güvenlik açığı bulduysan lütfen herkese açık sorun olarak değil, depodaki güvenlik politikasındaki yönteme göre bildir.