Модель безопасности

Аспект	Как это решает Tenax
Данные в хранилище	Шифрование age на стороне клиента для каждого объекта данных, для получателей под вашим контролем. Бакет и его провайдер никогда не видят открытый текст.
Ключи	Идентичность резервных копий (закрытый ключ) читают только Job restorer. Храните офлайн-копию: без неё ничего нельзя восстановить. Отдельный ключ каталога позволяет консоли читать описи и маскированные предпросмотры, но не дампы и не WAL (ADR 0009).
Доступ к базам данных	Один пользователь с минимальными привилегиями на базу данных, никогда не администратор: он читает данные для дампов и реплицирует для потока (Пользователи баз данных).
Доступ к Kubernetes	Чтение собственных ресурсов Tenax во всём кластере; в namespace целей — чтение только секретов tenax-*. Поды работают не от root, с корневой файловой системой только для чтения и без capabilities.
Консоль и API	Проверка JWT Cloudflare Access, четыре роли (viewer, operator, restorer, restorer-admin), необязательные области org/project и журнал аудита каждой записи и каждого запроса. Запросы проверяются по документу OpenAPI.
Песочницы	Собственный namespace, NetworkPolicy, сгенерированные учётные данные и TTL. Доступны снаружи только через Cloudflare Tunnel за Access, если вы это включите.
Секреты в журналах	Никогда не записываются: логгер скрывает пароли, токены, идентичности и заголовки авторизации.

Полный обзор, включая открытые вопросы, — в разделе Обзор безопасности.