Model keamanan

Aspek	Cara Tenax menanganinya
Data saat disimpan	Enkripsi age di sisi klien untuk setiap objek data, ke penerima yang Anda kendalikan. Bucket dan penyedianya tidak pernah melihat plaintext.
Kunci	Identitas cadangan (kunci privat) hanya dibaca oleh Job restorer. Simpan salinan offline: tanpanya tidak ada yang bisa dipulihkan. Kunci katalog terpisah memungkinkan konsol membaca inventaris dan pratinjau tersamar, tetapi tidak dump atau WAL (ADR 0009).
Akses basis data	Satu pengguna dengan hak minimum per basis data, tidak pernah administrator: ia membaca data untuk dump dan melakukan replikasi untuk aliran (Pengguna basis data).
Akses Kubernetes	Baca resource milik Tenax sendiri di seluruh klaster; di namespace target, hanya baca secret tenax-*. Pod berjalan sebagai non-root dengan filesystem root baca-saja dan tanpa capability.
Konsol dan API	Verifikasi JWT Cloudflare Access, empat peran (viewer, operator, restorer, restorer-admin), cakupan org/proyek opsional, dan log audit untuk setiap penulisan dan setiap kueri. Permintaan divalidasi terhadap dokumen OpenAPI.
Sandbox	Namespace sendiri, NetworkPolicy, kredensial yang dibuat otomatis, dan TTL. Hanya diekspos melalui Cloudflare Tunnel di balik Access jika Anda mengaktifkannya.
Rahasia di log	Tidak pernah dicatat: logger menyamarkan kata sandi, token, identitas, dan header otorisasi.

Tinjauan lengkap, termasuk hal-hal yang masih terbuka, ada di Tinjauan keamanan.