Segurança

O ServerAlyzer liga o seu PC aos servidores por SSH, diretamente ou através de um único jump host. A app não tem backend, conta, telemetria própria ou envio de métricas ao editor.

Confiança SSH antes da autenticação

• A aplicação apresenta a impressão digital SHA-256 de uma chave desconhecida e exige a sua confirmação explícita antes de enviar as credenciais desse servidor. Confirme a impressão digital por um canal independente e de confiança.
• Uma chave diferente da que foi guardada bloqueia a ligação. Não é aceite automaticamente nem existe um atalho para ignorar a divergência durante a ligação.
• O jump host e o servidor final têm credenciais e identidades independentes. A primeira ligação pode pedir duas confirmações: primeiro a do jump host, depois a do servidor final. A confiança da rota fica associada ao jump host e ao destino real.

Importação SSH com limites claros

• A importação lê o ficheiro .ssh/config apenas quando a solicita. Os ficheiros incluídos têm de permanecer dentro da pasta .ssh; ligações e inclusões fora dessa pasta não são seguidas.
• Um ProxyJump single-hop válido é suportado no produto base. ProxyCommand, múltiplos saltos e configurações ambíguas ou que não possam ser resolvidas com segurança são bloqueados; a app não os transforma silenciosamente numa ligação direta.
• As sugestões de chaves usam apenas o nome e o tamanho dos ficheiros habituais. O conteúdo da chave é lido apenas para autenticar uma ligação configurada para a usar.

Credenciais e ficheiros locais

• Palavras-passe e frases-passe SSH são guardadas no Gestor de Credenciais do Windows, para a sua conta neste PC. Os ficheiros de configuração não contêm esses segredos.
• A app guarda apenas o caminho da chave privada; não copia o ficheiro nem o inclui em backups. O ficheiro continua sujeito às permissões do Windows.
• Configuração, confiança SSH e histórico são dados locais. A proteção destes ficheiros depende também da segurança da sua conta e do seu PC; a encriptação dos backups não significa que toda a base de dados local esteja encriptada.

Cópias de segurança encriptadas

• O backup inclui servidores, rotas, chaves de host confiáveis, definições de notificações e segundo plano, e as palavras-passe e frases-passe guardadas. Não inclui ficheiros de chave privada nem histórico de métricas.
• O conteúdo é protegido por AES-256-GCM. A chave é derivada da frase-passe escolhida com PBKDF2-HMAC-SHA256 e 1 000 000 de iterações. O cabeçalho técnico não contém dados dos servidores.
• Não há recuperação se esquecer a frase-passe. O ficheiro é guardado onde escolher e nunca é enviado pela app. Uma pasta sincronizada fica sujeita ao serviço de sincronização que utiliza.
• Uma cópia temporária em restore-journal permite desfazer um restauro interrompido.

Monitorização só de leitura

• O catálogo de comandos é fixo: métricas de CPU, memória, disco e uptime, e listagem de containers Docker e serviços systemd ou launchd.
• Não existe execução arbitrária, sudo, instalação de agentes ou ações de iniciar, parar e reiniciar serviços. Falta de permissões é reportada como erro ou indisponibilidade, sem elevar privilégios.
• A saída remota é tratada como não confiável, com limites de tamanho e campos, validação de texto e remoção de caracteres de controlo antes da apresentação.

Pesquisa local apenas a pedido

• A pesquisa mDNS/DNS-SD de _ssh._tcp só começa por ação explícita. Não varre portas ou intervalos de endereços, nem se liga aos dispositivos encontrados.
• Termina quando a interrompe, sai da página ou esconde a janela; após cerca de 40 segundos sem novidades; e, no máximo, após 10 minutos. Os resultados ficam em memória e são descartados no fim.
• As permissões pedidas pela Firewall do Windows destinam-se a receber respostas mDNS. Adicionar um resultado continua a exigir a confirmação da identidade SSH.

Widget, notificações e diagnóstico

• O widget corre num processo separado e lê um resumo local sanitizado. Não tem acesso a SSH ou credenciais; o resumo não inclui endereços, utilizadores ou chaves de host. O conteúdo do cartão é entregue ao Windows no PC.
• A app não escreve ficheiros de log. O componente do widget pode emitir rastreio técnico local de eventos do Windows, sem dados de servidores ou segredos.
• Os relatórios da Microsoft Store e os diagnósticos do Windows são tratados pela Microsoft segundo as suas definições e políticas. São distintos de telemetria da app. A capacidade runFullTrust não concede direitos de administrador.

Versões e comunicação de vulnerabilidades

• As correções de segurança destinam-se à versão mais recente publicada e ao ramo principal de desenvolvimento. As versões antigas não são mantidas em paralelo.
• Comunique vulnerabilidades de forma privada em GitHub Security Advisories. Inclua impacto, passos de reprodução, versão e ambiente. Não publique detalhes exploráveis, credenciais, chaves privadas ou dados pessoais.
• Não teste infraestruturas sem autorização. A divulgação deve ser coordenada, com tempo para investigar e corrigir; o reconhecimento de quem reporta depende da sua vontade.