Sicherheitsmodell

Thema	Wie Tenax damit umgeht
Ruhende Daten	Clientseitige age-Verschlüsselung jedes Datenobjekts, für Empfänger, die Sie kontrollieren. Der Bucket und sein Anbieter sehen nie Klartext.
Schlüssel	Die Backup-Identität (privater Schlüssel) wird nur von Restorer-Jobs gelesen. Bewahren Sie eine Offline-Kopie auf: Ohne sie lässt sich nichts wiederherstellen. Ein separater Katalog-Schlüssel lässt die Konsole Inventare und maskierte Vorschauen lesen, aber keine Dumps oder WAL (ADR 0009).
Datenbankzugriff	Ein Benutzer mit minimalen Rechten pro Datenbank, nie ein Administrator: Er liest Daten für Dumps und repliziert für den Stream (Datenbankbenutzer).
Kubernetes-Zugriff	Clusterweites Lesen der eigenen Tenax-Ressourcen; in Ziel-Namespaces nur Lesen von tenax-*-Secrets. Pods laufen ohne Root-Rechte mit schreibgeschütztem Root-Dateisystem und ohne Capabilities.
Konsole und API	Prüfung des Cloudflare-Access-JWT, vier Rollen (viewer, operator, restorer, restorer-admin), optionale Org-/Projekt-Bereiche und ein Audit-Log jedes Schreibzugriffs und jeder Abfrage. Anfragen werden gegen das OpenAPI-Dokument validiert.
Sandboxes	Eigener Namespace, eine NetworkPolicy, generierte Zugangsdaten und eine TTL. Nur über Cloudflare Tunnel hinter Access erreichbar, wenn Sie das einschalten.
Secrets in Logs	Werden nie protokolliert: Der Logger schwärzt Passwörter, Tokens, Identitäten und Authorization-Header.

Die vollständige Prüfung, einschließlich offener Punkte, steht im Security-Review.