Что ставится на ваш сервер

Всё, что vpsFocus кладёт на ваш сервер или выполняет на нём, лежит в открытом репозитории github.com/zaevlad/vpsfocus-server. Обещание «читаем, но не меняем, данные остаются у вас» можно проверить, а не принимать на веру.

Сейчас на серверы ставится версия 0.33.0, её код — тег bundle-0.33.0 в репозитории.

Что там лежит

• Установочные файлы каждой версии — ровно в том виде, в каком их получает сервер: скрипты установки, обновления и отката, шаблоны, подписанная опись и подпись.
• Все скрипты, которые приложение выполняет по SSH, — поиск сайтов и сертификатов, копии, проверка безопасности и остальное. К каждому — строка в описи SERVER-SIDE.md: когда запускается, что читает, что меняет.
• Исходники агента мониторинга и сборка нашего Caddy.

Аналитика — Umami, база — PostgreSQL: их официальные образы, закреплённые дайджестом.

Чего там нет

Само приложение для компьютера закрыто. Скрипты внутри него собираются из этих же файлов, и наши автоматические тесты падают, если приложение выполняет скрипт, которого нет в описи; со своей стороны вы видите каждую выполненную команду в журнале sudo или auditd вашего сервера. Нет и сайта vpsFocus: на вашем сервере он не работает.

Как проверить, что поставилось то же самое

1. Экран установки в приложении называет версию установочных файлов и ведёт на её тег в репозитории.
2. Одна команда проверяет подпись версии и каждый её файл: go run ./tools/verify -version <версия>. С ключом -archive она сравнивает с тегом архив, который скачивает приложение, — файл за файлом.
3. Образы в шаблоне закреплены дайджестом; на сервере docker inspect показывает те же.

Подробные команды — в README репозитория.

Ключ выпуска

Каждая версия подписана ключом с отпечатком 337F561861A23810 (идентификатор ключа minisign). Тем же ключом подписаны обновления приложения, и приложение не ставит версию без годной подписи. Тот же отпечаток — в README и в SECURITY.md репозитория; если ключ сменится, он сменится во всех трёх местах с датой и причиной.

Лицензия

Business Source License 1.1: читать, проверять, менять и запускать этот код на своих серверах и серверах своих клиентов можно, в том числе за деньги; строить на нём конкурирующий продукт мониторинга или аналитики нельзя. Через четыре года после выпуска каждая версия переходит под Apache 2.0.

Нашли уязвимость

Сообщите не публично, через форму Report a vulnerability в репозитории. Отвечаем в течение 7 дней.