Seguridad

Los backups son el objetivo nº 1 del ransomware — trata el sistema de backup como infraestructura crítica.

Checklist

TLS en todo entre Director, Storage Daemon, File Daemon y Console; habilita TLS Authenticate para autenticación mutua.
Cifra en reposo con AES-256-GCM y protege las claves privadas de la PKI (respáldalas por separado). Consulta Cifrado & TLS.
Inmutabilidad / WORM para que un admin comprometido no borre backups antes de la retención. Consulta Inmutabilidad & WORM.
Detección activa de ransomware para detectar y frenar ataques en tiempo real. Consulta Detección de ransomware.
Mínimo privilegio — limita el acceso al Console con las ACL de Console (consulta la referencia Console).
Credenciales separadas por daemon; rota contraseñas; restringe el acceso de red a los puertos 9101–9103.
Autenticación multifactor en el Web Console — consulta Autenticación multifactor abajo.

Autenticación multifactor (TOTP)

El Web Console soporta autenticación multifactor con contraseñas de un solo uso basadas en tiempo (TOTP, RFC 6238) — compatible con Google Authenticator, Microsoft Authenticator, FreeOTP, Aegis y cualquier app autenticadora estándar.

Cada usuario registra un secreto TOTP desde su página de perfil (código QR o clave manual).
Tras un inicio de sesión con contraseña exitoso (las contraseñas se almacenan como hashes argon2id), la sesión queda en estado pendiente de MFA — aún no se concede acceso a la API.
El usuario envía el código de 6 dígitos (paso de 30 segundos); solo entonces la sesión se promueve a totalmente autenticada. No hay vía de bypass.

Guía de despliegue:

Registra MFA para todos los usuarios del console, empezando por los administradores. Donde una línea base de seguridad exija aplicación universal, haz del registro parte del procedimiento de aprovisionamiento de usuarios y audita la lista de usuarios periódicamente.
Los tokens de API para automatización son credenciales separadas, con alcance y revocación independientes de los usuarios interactivos.