Signaler une vulnérabilité
Merci de signaler les problèmes de sécurité en privé, pas dans un ticket public : ouvrez l’onglet Security du dépôt et cliquez sur Report a vulnerability, en indiquant la version concernée et comment reproduire le problème. Nous confirmons les signalements sous quelques jours ouvrés, corrigeons les problèmes confirmés dans une nouvelle version et citons la personne qui les a signalés dans les notes de version, sauf si elle préfère le contraire.
Les correctifs de sécurité sont publiés pour la dernière version. Contact lisible par machine : security.txt.
Comment RMMZit protège vos ordinateurs
Console
La console et le point d’accès des agents sont des ports séparés ; la console n’accepte que vos réseaux autorisés, vérifiés avant TLS. Connexion à deux facteurs pour chaque compte, mots de passe argon2id, sessions courtes, blocage progressif des échecs de connexion, protection CSRF, Content-Security-Policy stricte et journal d’audit chaîné par hachage.
Agents
Les agents se connectent uniquement en sortie — les ordinateurs gérés n’ont besoin d’aucun port ouvert —, épinglent le certificat du serveur lors de l’inscription et n’exécutent que des commandes signées par le serveur et vérifiées par l’agent.
Accès à distance
Bureau à distance, terminal et fichiers réservés aux utilisateurs ayant accès à ce client ; chaque session et action est inscrite au journal d’audit, et un avis facultatif sur l’écran distant indique à l’utilisateur que quelqu’un est connecté.
Uniquement votre réseau
Pas de service cloud, pas de télémétrie, pas de compte chez nous. Les actions root de la console (mises à jour, réseau, fuseau horaire) passent par un assistant séparé avec un ensemble fixe de requêtes vérifiées ; les diagnostics retirent mots de passe, jetons et clés.
Comment les versions sont protégées
- Chaque version est signée avec la clé de publication Ed25519 de RMMZit ; consoles et agents vérifient la signature et les sommes de contrôle avant d’installer une mise à jour.
- Le script d’installation vérifie la signature et la somme de contrôle de la version qu’il télécharge.
- Les paquets sont construits à partir de commits étiquetés ; les images contiennent une offre écrite de code source (
SOURCE-CODE.txt). - Une mise à jour de la console sauvegarde d’abord la base et revient automatiquement en arrière si la nouvelle version ne démarre pas.
Comment RMMZit est testé
À chaque modification (GitHub Actions)
| Contrôle | Ce qu’il trouve |
|---|---|
| CI | go vet, la suite de tests complète avec PostgreSQL embarqué, staticcheck, gosec, govulncheck et Gitleaks ; compilations Linux et Windows |
| CodeQL | Injections, traversée de chemins, redirections dangereuses et autres erreurs de flux de données (Go, JavaScript, workflows) |
| govulncheck | Vulnérabilités connues de Go et des dépendances réellement appelées |
| staticcheck | Bugs et code mort |
| Dependabot | Modules Go et actions vulnérables ou obsolètes |
| Secret scanning | Identifiants commités par erreur (avec protection au push) |
| OpenSSF Scorecard | Pratiques de chaîne d’approvisionnement du dépôt |
Avant les versions (en laboratoire de test)
| Contrôle | Ce qu’il trouve |
|---|---|
| gosec | Motifs Go dangereux : exécution de commandes, droits de fichiers, cryptographie faible |
| Semgrep | Injections, XSS, cookies non sécurisés, redirections ouvertes (Go, JavaScript, secrets, règles OWASP Top 10) |
| Trivy | Dépendances vulnérables, secrets et erreurs de configuration |
| Gitleaks | Secrets dans tout l’historique git |
| OWASP ZAP | Analyse complète connecté en administrateur : XSS, injection SQL, CSRF, traversée de chemins, problèmes d’en-têtes |
| OpenVAS et nmap | Vulnérabilités réseau, ports ouverts et réglages TLS de l’appliance |
| QA de bout en bout | Inscription, supervision, alertes, bureau à distance, terminal, fichiers, scripts, mises à jour, rôles, LDAP et SSO sur de vrais ordinateurs Windows et Linux |
Les problèmes trouvés sont corrigés avant la publication ; les risques acceptés sont documentés dans les notes de version.
Ce site
rmmzit.com est un site statique : un seul cookie de langue, pas d’analyse d’audience, pas de pistage, pas de scripts ni de polices tiers, et une Content-Security-Policy qui n’autorise aucun script. Voir la politique de confidentialité.