Eine Verwaltungsoberfläche kann einen ganzen Server steuern. Wer sie übernimmt, übernimmt den Server. HLS-OS ist deshalb so gebaut, dass auch ein übernommenes Konto möglichst wenig anrichten kann.
- Kein Standardpasswort. Das erste Konto legst du bei der Installation selbst an.
- Nur HTTPS. Die Verwaltung läuft auf Port 8443 mit eigenem Zertifikat.
- Rechte je Handlung. Jede Aktion prüft eine konkrete Berechtigung auf dem Server, nicht nur in der Oberfläche.
- Zweiter Faktor und Passkeys, auf Wunsch als Pflicht.
- Audit-Log mit Hashkette. Jeder Eingriff steht mit Absicht und Ergebnis darin. Nachträgliche Änderungen fallen auf.
- Geheimnisse verschlüsselt. Webhook-Adressen, Tokens und Passwörter speichert HLS-OS verschlüsselt und zeigt sie nie wieder an.
- Signierte Updates. HLS-OS spielt nur Fassungen mit gültiger Signatur ein.
- Signierte Verbindungen im Cluster. Hauptserver und Nodes signieren jede Nachricht. Ein Node prüft jeden Auftrag selbst.
Die Weboberfläche hat selbst keine Root-Rechte. Jeder Eingriff läuft über einen eigenen, abgeschotteten Dienst mit einer festen Liste erlaubter Handlungen. Was dort nicht steht, geht nicht, auch nicht mit einem Administratorkonto.
- Docker nur über diese Liste, auch lesend.
- Systemdienste nur, wenn jemand sie auf dem Server freigegeben hat. SSH, Firewall, Docker und HLS-OS selbst sind immer gesperrt.
- Firewall und IP-Einstellungen nehmen sich selbst zurück, wenn du nicht bestätigst.
Diese Funktionen findest du in anderen Panels. In HLS-OS fehlen sie mit Absicht, weil jede ein Weg an allen Schutzmaßnahmen vorbei wäre:
| Gibt es nicht |
Stattdessen |
Shell in einen Container (exec) |
Terminal des Servers mit eigenem Server-Konto |
| frei eingetragene Cron-Befehle |
Geplante Aktionen aus einem Katalog |
| freie Compose-Dateien |
Apps aus Manifesten, auch mit mehreren Containern |
| Bauen aus Git auf dem Server |
fertige Images mit Prüfsumme |
| Wiederherstellen über die Oberfläche |
Wiederherstellen auf dem Server selbst |
| Zurücksetzen des zweiten Faktors über die Oberfläche (für den einzigen Eigentümer) |
Befehl auf dem Server |
- Port 8443 nicht ins Internet freigeben. Nutze das eigene Netz oder das WireGuard-VPN.
- Zweiten Faktor für alle Administratoren.
- Eigene Konten für jede Person, mit der kleinsten passenden Rolle.
- Schlüssel sichern, getrennt vom Backup, siehe Backups.
- IP-Sperren und Benachrichtigungen für Sicherheitsereignisse einschalten.
Melde sie bitte nicht öffentlich, sondern per Ticket im Community-Discord. Wir melden uns schnell.