Een kwetsbaarheid melden
Meld beveiligingsproblemen vertrouwelijk, niet in een openbare melding: open het tabblad Security van de repository en klik op Report a vulnerability, met de betrokken versie en hoe het te reproduceren is. We bevestigen meldingen binnen enkele werkdagen, lossen bevestigde problemen op in een nieuwe release en noemen de melder in de release-opmerkingen, tenzij die dat liever niet heeft.
Beveiligingsoplossingen verschijnen voor de nieuwste versie. Machineleesbaar contact: security.txt.
Hoe RMMZit uw computers beschermt
Console
De console en het verbindingspunt van de agents zijn aparte poorten; de console accepteert alleen uw toegestane netwerken, gecontroleerd vóór TLS. Tweestapsaanmelding voor elk account, argon2id-wachtwoorden, korte sessies, oplopende blokkering na mislukte aanmeldingen, CSRF-bescherming, een strikte Content-Security-Policy en een via hashes gekoppeld auditlog.
Agents
Agents maken alleen uitgaand verbinding — beheerde computers hebben geen open poorten nodig —, leggen bij registratie het servercertificaat vast en voeren alleen opdrachten uit die door de server zijn ondertekend en door de agent zijn gecontroleerd.
Toegang op afstand
Extern bureaublad, terminal en bestanden alleen voor gebruikers met toegang tot die klant; elke sessie en actie komt in het auditlog, en een optionele melding op het externe scherm laat de gebruiker weten dat iemand verbonden is.
Alleen uw netwerk
Geen clouddienst, geen telemetrie, geen account bij ons. Root-acties uit de console (updates, netwerk, tijdzone) lopen via een aparte helper met een vaste set gecontroleerde verzoeken; de diagnose verwijdert wachtwoorden, tokens en sleutels.
Hoe releases worden beschermd
- Elke release is ondertekend met de Ed25519-releasesleutel van RMMZit; consoles en agents controleren handtekening en checksums voordat ze een update installeren.
- Het installatiescript controleert de handtekening en checksum van de release die het downloadt.
- Pakketten worden gebouwd vanuit getagde commits; images bevatten een schriftelijk aanbod voor de broncode (
SOURCE-CODE.txt). - Een console-update maakt eerst een back-up van de database en draait automatisch terug als de nieuwe versie niet start.
Hoe RMMZit wordt getest
Bij elke wijziging (GitHub Actions)
| Controle | Wat het vindt |
|---|---|
| CI | go vet, de volledige testsuite met ingebouwde PostgreSQL, staticcheck, gosec, govulncheck en Gitleaks; builds voor Linux en Windows |
| CodeQL | Injectie, path traversal, onveilige doorverwijzingen en andere fouten in de gegevensstroom (Go, JavaScript, workflows) |
| govulncheck | Bekende kwetsbaarheden in Go en in afhankelijkheden die de code echt aanroept |
| staticcheck | Bugs en dode code |
| Dependabot | Kwetsbare of verouderde Go-modules en actions |
| Secret scanning | Per ongeluk vastgelegde inloggegevens (met pushbescherming) |
| OpenSSF Scorecard | Toeleveringsketenpraktijken van de repository |
Vóór releases (in een testlab)
| Controle | Wat het vindt |
|---|---|
| gosec | Onveilige Go-patronen: uitvoeren van opdrachten, bestandsrechten, zwakke cryptografie |
| Semgrep | Injectie, XSS, onveilige cookies, open doorverwijzingen (Go, JavaScript, geheimen, OWASP Top 10-regels) |
| Trivy | Kwetsbare afhankelijkheden, geheimen en verkeerde configuraties |
| Gitleaks | Geheimen in de volledige git-geschiedenis |
| OWASP ZAP | Volledige scan, aangemeld als beheerder: XSS, SQL-injectie, CSRF, path traversal, headerproblemen |
| OpenVAS en nmap | Kwetsbaarheden op netwerkniveau, open poorten en TLS-instellingen van de appliance |
| End-to-end QA | Registratie, bewaking, waarschuwingen, extern bureaublad, terminal, bestanden, scripts, updates, rollen, LDAP en SSO op echte Windows- en Linux-computers |
Bevindingen worden vóór de release opgelost; geaccepteerde risico’s staan in de release-opmerkingen.
Deze website
rmmzit.com is een statische website: alleen een taalcookie, geen analyse, geen tracking, geen scripts of lettertypen van derden en een Content-Security-Policy die helemaal geen scripts toestaat. Zie het privacybeleid.