Segurança

• Login: toda rota da API exige uma sessão, exceto criar o primeiro administrador e entrar. Tentativas de login com erro repetidas do mesmo endereço ficam bloqueadas por um tempo.
• O endereço do console: é publicado com um certificado do Let's Encrypt, e HTTP simples redireciona para HTTPS. O Orbit só responde pedidos que chegam pelo Traefik com um segredo que muda a cada vez que o Orbit inicia, e o firewall deixa a porta dele acessível só pelo servidor e pelos seus workloads.
• Agentes: precisam de um certificado de cliente da autoridade certificadora do próprio Orbit que não esteja revogado nem expirado.
• Servidores adicionados: as chaves SSH deles são fixadas quando você confirma a impressão digital, e toda conexão seguinte recusa uma chave diferente. Chaves privadas coladas ficam só na memória.
• Segredos guardados: variáveis marcadas como secretas, senhas de bancos e a chave do App do GitHub são seladas com AES-256-GCM, com uma chave mantida fora do banco do Orbit. Senhas de usuários usam Argon2id, e tokens de sessão e de registro ficam guardados só como hash. O diretório de dados do Orbit só pode ser lido pelo root.
• Logs: segredos e padrões comuns de credenciais são removidos antes de qualquer coisa ser guardada. Veja Operando o Orbit.
• Versões: toda versão é assinada. O console se recusa a atualizar para uma versão cuja assinatura não bate com a chave fixada no Orbit em execução.
• Previews de pull request: pull requests de forks nunca rodam nos seus servidores.