**Language / Язык:** [English](../security.md) | [Русский](security.md)

# Безопасность

Политика репозитория и репортинг: [SECURITY.md](../../SECURITY.md).

## Модель угроз лаборатории

Этот проект — **локальный / CI лабораторный симулятор**. Он не закалён как
multi-tenant публичный сервис Proxmox. Учётные данные по умолчанию, demo-контролы UI
и эндпоинты совместимости удобны для разработки и намеренно открыты в стандартном
Compose-стеке.

Не выставляйте порт `8006` в недоверенные сети без дополнительных мер,
которые вы обеспечите сами. Хост `:8006` — lab HTTPS API-шлюз (у реального PVE
на этом порту HTTPS). Хост **`:8007` этим стеком не используется** (на железе
обычно PBS). См. [Порты и TLS](configuration.md#порты-и-tls).

## Учётные данные и секреты

- Пароли и секреты API-токенов хранятся как scrypt-хеши.
- Значения тикетов подписываются HMAC и краткоживущие.
- CSRF привязывает мутации к сессиям по тикету.
- Логи редактируют распознанные представления тикетов, паролей и токенов.
- Ответы create/regenerate токена показывают секрет один раз; GET его никогда не
  выводит.

Меняйте `TICKET_SIGNING_KEY` для любой общей лаборатории. Замените seeded-пароли и
токены перед демонстрацией другим людям.

## TLS-материалы

`docker/tls/` содержит встроенный self-signed сертификат для локального шлюза. Он
нужен, чтобы неизменённые TLS-клиенты (например, proxmoxer) могли подключаться.
**Никогда** не переиспользуйте эти файлы в production.

## Администрирование симулятора

Сейчас **нет** отдельно аутентифицированной control plane `/_simulator`.
Helper-маршруты Web UI под `/ui/api/*` и `/admin/compatibility*` доступны, когда
процесс достижим. Считайте границей доверия сетевую экспозицию.

## Симулированные внешние системы

LDAP sync stamps, pending-состояние OpenID, ACME и эндпоинты Ceph сохраняют только
локальное состояние симулятора. Они не открывают реальные подключения к внешним IdP
или кластерам. Не полагайтесь на симулятор для тестирования защиты от утечки
учётных данных к реальным провайдерам.