Чтобы сообщить об уязвимости, не создавайте публичный issue. Используйте приватное сообщение об уязвимости на GitHub. Порядок обработки, сроки ответа, поддерживаемые версии и область действия описаны в SECURITY.md. Исправления безопасности получает только последний релиз.
Безопасно по умолчанию
Эти настройки включены по умолчанию начиная с 0.7.0. В каждой строке указана страница, где это описано.
| По умолчанию | Где читать |
|---|---|
Новые тенанты используют профиль безопасности fapi2: он не пускает публичных клиентов, клиентов с client_secret, ключи подписи RS256 и запросы без PKCE | Профили безопасности |
Подключения к Postgres идут с sslmode=verify-full; при env = "prod" непроверяемый URL отклоняется, loopback-хосты исключены | Конфигурация |
Все прикладные listener-ы (основной, дополнительный и mutual-TLS, но не диагностический порт) отправляют X-Content-Type-Options, Referrer-Policy: no-referrer и Permissions-Policy; HTML получает строгий Content-Security-Policy и X-Frame-Options: DENY; HSTS отправляется по HTTPS или на mTLS-listener | Конфигурация |
Успешные ответы с токенами содержат Cache-Control: no-store | Справочник OpenAPI |
/userinfo принимает токен доступа только в заголовке Authorization | Справочник OpenAPI |
| Коды авторизации имеют длину 32 байта | Справочник OpenAPI |
| Edge отклоняет токен с привязкой к DPoP-ключу, предъявленный как обычный Bearer, и токен, привязанный одновременно к ключу и сертификату, при любом предъявлении | Токены с привязкой к отправителю, Обзор edge |
| Клиентские сертификаты edge короткоживущие (по умолчанию 14 дней) и обновляются автоматически; ключи при enroll не покидают реплику edge | Клиентские сертификаты |
| Секреты, привязанные к данным, генерируются один раз при первой установке и не пересоздаются; отсутствующий секрет останавливает обновление | Секреты |
| Начальный пароль администратора действует 24 часа и не пишется в логи | Секреты, заметки о релизах |
При fapi2 у подписанных request-объектов обязательны nbf и jti; проверка повторного использования jti работает при обоих профилях | Профили безопасности |
Дальнейшие шаги
- Прочитайте профили безопасности, чтобы выбрать профиль для тенанта.
- Изучите секреты до первого развёртывания в production.