Segurança

Backups são alvo nº 1 de ransomware — trate o sistema de backup como infraestrutura crítica.

Checklist

• TLS em tudo entre Director, Storage Daemon, File Daemon e Console; habilite TLS Authenticate para autenticação mútua.
• Criptografe em repouso com AES-256-GCM e proteja as chaves privadas da PKI (faça backup delas separadamente). Veja Criptografia & TLS.
• Imutabilidade / WORM para que um admin comprometido não apague backups antes da retenção. Veja Imutabilidade & WORM.
• Detecção ativa de ransomware para pegar e parar ataques em tempo real. Veja Detecção de ransomware.
• Privilégio mínimo — limite o acesso ao Console com ACLs do Console (veja a referência Console).
• Credenciais separadas por daemon; rotacione senhas; restrinja o acesso de rede às portas 9101–9103.
• Autenticação multifator no Web Console — veja Autenticação multifator abaixo.

Autenticação multifator (TOTP)

O Web Console suporta autenticação multifator com senhas de uso único baseadas em tempo (TOTP, RFC 6238) — compatível com Google Authenticator, Microsoft Authenticator, FreeOTP, Aegis e qualquer app autenticador padrão.

1. Cada usuário cadastra um segredo TOTP na sua página de perfil (QR code ou chave manual).
2. Após um login com senha bem-sucedido (as senhas são armazenadas como hashes argon2id), a sessão fica em estado pendente de MFA — nenhum acesso à API é concedido ainda.
3. O usuário envia o código de 6 dígitos (janela de 30 segundos); só então a sessão é promovida a totalmente autenticada. Não há caminho de bypass.

Orientações de implantação:

• Cadastre MFA para todos os usuários do console, começando pelos administradores. Onde uma baseline de segurança exigir aplicação universal, torne o cadastro parte do procedimento de provisionamento de usuários e audite a lista de usuários periodicamente.
• Tokens de API para automação são credenciais separadas, com escopo e revogação independentes dos usuários interativos.