Cotton превращает позицию безопасности в операторский экран. Проверка называет конкретные риски: источник ключа, публичный режим, админский 2FA, диагностику, дампируемость, seccomp, ptrace, доступность Docker socket, записываемый rootfs, изоляцию и состояние раскатки целостности базы данных.
Проверка намеренно только для админа. Это не публичный healthcheck endpoint и не маркетинговый бейдж; это приватная поверхность оператора, где видно, какие решения по развёртыванию и аккаунтам ещё требуют внимания.
Cotton может смотреть позицию процесса/контейнера: диагностику .NET, дампируемость Linux, эффективный UID, no-new-privileges, режим seccomp, capability ptrace, записываемую корневую файловую систему, доступность Docker socket, подсказки host PID namespace, настройки дампов памяти и изоляцию AppArmor/SELinux.
Страница может предупреждать про источник master key, публичный/демо-режим и админские аккаунты без 2FA. Это важно: шифрование хранилища и passkeys полезны только тогда, когда оператор видит, как инстанс реально настроен.
Подписи целостности базы данных тоже часть истории про позицию. Проверка может предупреждать, пока мостовой режим включён, чтобы оператор видел: защищённые метаданные ещё находятся в состоянии раскатки.
Цель — не паранойя с первого запуска. Cotton показывает дешёвые слои харденинга: путь рантайма не от root, отключённую диагностику .NET, снижение дампируемости, no-new-privileges, seccomp, покрытие 2FA и отсутствие очевидной доступности Docker socket.
Read-only rootfs, кастомные профили seccomp/AppArmor, зашифрованный swap, настройки ptrace ядра, TPM/HSM/KMS или отдельный агент ключей могут быть полезны, но это экспертные решения. Если влепить их вслепую, можно сломать права на тома, отладку, превью или сценарии восстановления.
Проверка может показать публичное создание аккаунтов, источник master key, покрытие админов 2FA, состояние моста целостности базы данных, диагностику .NET, дампируемость Linux, seccomp, CAP_SYS_PTRACE, записываемый rootfs, доступность Docker socket, вероятное использование host PID namespace, лимиты дампов памяти, core_pattern и изоляцию AppArmor/SELinux.
Self-hosted безопасность нельзя считать само собой разумеющейся. Cotton сильнее, когда админка говорит, что рискованно, почему это важно и какие обычные шаги харденинга ещё не сделаны.
Cotton не притворяется, что софт победит полную компрометацию хоста. Если атакующий может исполнять код внутри процесса Cotton, флаги софта не спрячут ключ в памяти от этого процесса. Эти проверки в основном уменьшают случайную утечку, поверхности дампов и риски от соседних процессов и привилегий контейнера.
Cotton не продаёт оценку в админке как магический щит. Это практичная поверхность, чтобы найти очевидную уязвимость до того, как инстанс начинают считать публичной инфраструктурой.
.NET diagnostics, Linux dumpability, эффективный UID, no-new-privileges, seccomp, ptrace, writable rootfs, Docker socket, подсказки про host PID, core dumps и confinement.
Источник мастер-ключа, public/demo mode и admin-аккаунты без 2FA показываются как решения оператора, а не спрятанные мелочи развёртывания.
Состояние моста целостности БД говорит оператору, находятся ли защищённые SQL-метаданные ещё в стадии раскатки.
Если враждебный код исполняется внутри процесса Cotton, софт не сможет полностью спрятать ключ в памяти от этого процесса. Проверка всё равно полезна: куча реальных провалов self-hosting случайны — открытая диагностика, включённые поверхности дампа, примонтированный Docker socket, слабое состояние админки или забытый public mode.
Нет. Это страница только для админа, потому что она раскрывает позицию развёртывания и пробелы в харденинге. Публичные healthcheck не должны светить такие детали.
Нет. Оценка — практичная сводка позиции, а не гарантия и не результат аудита. Компрометация хоста, плохие бэкапы, утёкшие секреты и слабая эксплуатация всё ещё важны.
Режим ключа в окружении удобен для автоматических перезапусков домашнего сервера, но системы развёртывания могут сохранять метаданные env. Разблокировка в браузере держит ключ вне этих метаданных, ценой ручной разблокировки после перезапуска.
Да. Read-only файловые системы, кастомные профили или агрессивные ограничения контейнера могут сломать права на тома, отладку, превью или пути восстановления, если включать их без тестов.