Modello di sicurezza

Aspetto	Come lo gestisce Tenax
Dati a riposo	Cifratura age lato client di ogni oggetto di dati, verso destinatari che controlli tu. Il bucket e il suo provider non vedono mai dati in chiaro.
Chiavi	L'identità di backup (chiave privata) viene letta solo dai Job restorer. Conservane una copia offline: senza di essa non si può ripristinare nulla. Una chiave di catalogo separata consente alla console di leggere inventari e anteprime mascherate, ma non dump o WAL (ADR 0009).
Accesso ai database	Un utente con privilegi minimi per database, mai un amministratore: legge i dati per i dump e replica per il flusso (Utenti di database).
Accesso a Kubernetes	Lettura a livello di cluster delle risorse di Tenax; nei namespace dei target, lettura dei soli secret tenax-*. I pod sono non-root, con root filesystem in sola lettura e nessuna capability.
Console e API	Verifica del JWT di Cloudflare Access, quattro ruoli (viewer, operator, restorer, restorer-admin), ambiti org/progetto facoltativi e un log di audit di ogni scrittura e ogni query. Le richieste sono validate rispetto al documento OpenAPI.
Sandbox	Un namespace proprio, una NetworkPolicy, credenziali generate e un TTL. Esposte solo tramite Cloudflare Tunnel dietro Access, quando lo attivi.
Segreti nei log	Mai registrati: il logger oscura password, token, identità e header di autorizzazione.

La revisione completa, punti aperti compresi, è in Revisione di sicurezza.