866c5b8c1e
Some checks are pending
Deploy server-up (dev) / deploy (push) Waiting to run
Nergens stond bij elkaar welke sleutels in het .env van de deploy-map horen. BIND kwam alleen in docs/beveiliging.md voor, SU_IMAGE en SU_TAG alleen in docs/updates.md, en de rest nergens. - .env.example met BIND, PORT, SU_TAG, SU_IMAGE, BASE_DIR, SU_HTTPS, SU_BOOT_REPOS en SU_DEBUG, elk met uitleg wanneer je ze nodig hebt. - docs/beveiliging.md wijst er nu naar, met de concrete stappen om de interface van buiten de server bereikbaar te maken. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01C7oLCRYzY5ixJ5Sv8Y8EFb
122 lines
4.8 KiB
Markdown
122 lines
4.8 KiB
Markdown
# Beveiliging
|
|
|
|
Server Up beheert de Docker-daemon. Wie toegang heeft tot de webinterface, kan
|
|
containers starten met willekeurige volumes — en daarmee in de praktijk alles op
|
|
de host. Behandel toegang tot Server Up dus als root-toegang tot de server.
|
|
|
|
Vanaf v0.5.00 is de interface standaard afgeschermd met een login.
|
|
|
|
---
|
|
|
|
## Eerste start
|
|
|
|
Bij de eerste start is er nog geen account. Open de webinterface en maak er
|
|
meteen een aan: **zolang dat niet gebeurd is, kan iedereen die de pagina bereikt
|
|
het beheerdersaccount claimen.** De container laat daarom bij het opstarten een
|
|
waarschuwing zien.
|
|
|
|
Standaard bindt `docker-compose.yml` de poort op `127.0.0.1`, dus alleen vanaf de
|
|
server zelf bereikbaar. Wil je er van buitenaf bij, zet dan een reverse proxy met
|
|
TLS ervoor (zie onder) en pas `BIND` aan in je `.env`:
|
|
|
|
```bash
|
|
cd /opt/docker/server-up # of /opt/server-up op prod
|
|
cp .env.example .env # alleen de eerste keer
|
|
sed -i 's/^BIND=.*/BIND=0.0.0.0/' .env
|
|
docker compose up -d
|
|
```
|
|
|
|
`.env` staat in `.gitignore` en wordt door de deploy-workflow overgeslagen, dus
|
|
je instellingen blijven staan bij een update. Alle beschikbare sleutels staan
|
|
met uitleg in `.env.example`.
|
|
|
|
## Authenticatiemodi
|
|
|
|
Instelbaar via `PUT /api/auth/mode`:
|
|
|
|
| Modus | Betekenis |
|
|
|-------|-----------|
|
|
| `local` (standaard) | Gebruikersnaam + wachtwoord in Server Up zelf |
|
|
| `proxy` | Identiteit komt uit een header van je reverse proxy; geen lokale login meer |
|
|
| `both` | Beide; handig om SSO te testen zonder jezelf buiten te sluiten |
|
|
|
|
Wachtwoorden worden opgeslagen als scrypt-hash (n=2¹⁴) met een willekeurige salt.
|
|
Na vijf mislukte pogingen is het account vijf minuten geblokkeerd.
|
|
|
|
### SSO via een reverse proxy
|
|
|
|
Draai je Authelia, Authentik of Cloudflare Access, dan kan die de identiteit in
|
|
een header zetten (meestal `Remote-User`).
|
|
|
|
Belangrijk: die header wordt **alleen** vertrouwd als het bron-IP in
|
|
`trusted_proxies` staat. Zonder die lijst kan iedereen de header zelf meesturen
|
|
en zich voordoen als beheerder. Server Up weigert daarom modus `proxy`/`both` als
|
|
`trusted_proxies` leeg is.
|
|
|
|
Zorg er ook voor dat je proxy de header van binnenkomende requests **wist** en
|
|
zelf opnieuw zet.
|
|
|
|
## Reverse proxy met TLS
|
|
|
|
Server Up spreekt gewoon HTTP. Zet er een proxy voor die TLS afhandelt:
|
|
|
|
```nginx
|
|
location / {
|
|
proxy_pass http://127.0.0.1:5000;
|
|
proxy_set_header Host $host;
|
|
proxy_set_header X-Real-IP $remote_addr;
|
|
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
|
proxy_set_header X-Forwarded-Proto $scheme;
|
|
proxy_set_header Remote-User ""; # wis wat de client stuurt
|
|
}
|
|
```
|
|
|
|
Zet `SU_HTTPS=1` in de omgeving zodra alles via TLS loopt; de sessiecookie krijgt
|
|
dan de `Secure`-vlag.
|
|
|
|
## Wat er beveiligd is
|
|
|
|
- **Sessies** — `HttpOnly`, `SameSite=Strict`, 12 uur geldig.
|
|
- **CSRF** — elke POST/PUT/DELETE vereist de `X-CSRF-Token`-header. Routes die de
|
|
toestand wijzigen accepteren geen GET meer.
|
|
- **Padvalidatie** — stack-, instantie- en repo-namen worden gecontroleerd, zodat
|
|
ze nooit buiten `LIBRARY_DIR` of de git-cache kunnen wijzen.
|
|
- **Git-URL's** — alleen `http(s)://`, `ssh://` en `git@host:pad`. Git's
|
|
`ext::`-transport voert een shell-commando uit en wordt geweigerd.
|
|
- **Templates** — boilerplates renderen in een Jinja2-sandbox.
|
|
- **Geheimen** — git-tokens worden nooit teruggegeven door de API (alleen een
|
|
`has_token`-vlag); `config.json` en `secret.key` staan op 0600.
|
|
- **Headers** — CSP op `'self'`, `X-Frame-Options: DENY`, `nosniff`,
|
|
`Referrer-Policy: no-referrer`. Alle front-end libraries worden meegeleverd,
|
|
dus er gaat op runtime niets naar een CDN.
|
|
- **SSH** — host-keys worden geverifieerd (`accept-new`, opgeslagen in
|
|
`/data/known_hosts`).
|
|
|
|
## Externe repo's en modules
|
|
|
|
Een module is Python-code die Server Up **uitvoert**. Voeg alleen repo's toe die
|
|
je vertrouwt. Twee knoppen om aan te draaien:
|
|
|
|
- `AUTO_SYNC_ON_BOOT` staat standaard **uit**. Repo's worden dus niet vanzelf
|
|
bijgewerkt; je synchroniseert zelf wanneer je dat wilt.
|
|
- Zet per repo een `commit` in de config om hem op een specifieke commit vast te
|
|
zetten:
|
|
|
|
```json
|
|
{"id": "mijn-apps", "url": "https://…", "branch": "main", "commit": "a1b2c3d"}
|
|
```
|
|
|
|
## Wat níét is afgedekt
|
|
|
|
- **De docker-socket zelf.** Server Up heeft volledige toegang tot de daemon; dat
|
|
is inherent aan wat het doet. Een socket-proxy die alleen bepaalde endpoints
|
|
toelaat werkt niet, omdat compose vrijwel alles nodig heeft.
|
|
- **Rechten per gebruiker.** Elk account heeft dezelfde volledige toegang; er
|
|
zijn geen rollen.
|
|
- **Rate limiting op de API** buiten de login-lockout om. Zet er zo nodig een
|
|
proxy met rate limiting voor.
|
|
|
|
## Een probleem melden
|
|
|
|
Vind je een beveiligingsprobleem, meld het dan via de repository-issues met zo
|
|
veel mogelijk details over de reproductie.
|