Model bezpieczeństwa

Obszar	Jak radzi sobie z tym Tenax
Dane w spoczynku	Szyfrowanie age po stronie klienta każdego obiektu danych, dla odbiorców, których kontrolujesz. Bucket i jego dostawca nigdy nie widzą tekstu jawnego.
Klucze	Tożsamość kopii zapasowych (klucz prywatny) czytają wyłącznie Joby restorera. Zachowaj kopię offline: bez niej niczego nie da się przywrócić. Osobny klucz katalogu pozwala konsoli czytać inwentarze i zamaskowane podglądy, ale nie zrzuty ani WAL (ADR 0009).
Dostęp do baz danych	Jeden użytkownik z minimalnymi uprawnieniami na bazę danych, nigdy administrator: czyta dane do zrzutów i replikuje dla strumienia (Użytkownicy baz danych).
Dostęp do Kubernetes	Odczyt własnych zasobów Tenax w całym klastrze; w namespace'ach celów wyłącznie odczyt secretów tenax-*. Pody działają bez roota, z głównym systemem plików tylko do odczytu i bez capabilities.
Konsola i API	Weryfikacja JWT Cloudflare Access, cztery role (viewer, operator, restorer, restorer-admin), opcjonalne zakresy org/projekt i dziennik audytu każdego zapisu i każdego zapytania. Żądania są walidowane względem dokumentu OpenAPI.
Piaskownice	Własny namespace, NetworkPolicy, wygenerowane dane uwierzytelniające i TTL. Udostępniane wyłącznie przez Cloudflare Tunnel za Access, gdy to włączysz.
Sekrety w logach	Nigdy nie są logowane: logger redaguje hasła, tokeny, tożsamości i nagłówki autoryzacji.

Pełny przegląd, w tym otwarte kwestie, znajduje się w Przeglądzie bezpieczeństwa.