| Zwei-Faktor-Anmeldung |
TOTP-Codes aus jeder Authenticator-App plus 10 einmalig verwendbare Wiederherstellungscodes. admin.require_2fa macht sie für jeden Konsolenbenutzer verpflichtend, und ein Administrator kann einen verlorenen zweiten Faktor zurücksetzen. |
Ja |
| OpenID-Connect-Anmeldung |
Konsolenanmeldung über Microsoft Entra ID, Okta, Keycloak, Google oder einen beliebigen Standardanbieter, mit PKCE. Benutzer verknüpfen eine externe Identität mit ihrem Konto, und Kontoanfragen können optional auf die Freigabe durch einen Administrator warten. |
Ja |
| Gehärtete Konsole |
Sicherheits-Header und eine strikte Content Security Policy in jeder Antwort, eine konfigurierbare Passwortrichtlinie, temporäre Passwörter, die bei der ersten Anmeldung ersetzt werden, und Sitzungen, die enden, wenn sich die Rolle oder die Rechte dahinter ändern. |
Ja |
| Verschlüsselte Geheimnisse |
Provider-Passwörter, PINs, Cloud-Zugangsdaten und Webhook-Geheimnisse, gespeichert mit AES-256-GCM unter einem an den Rechner gebundenen Hauptschlüssel. --protect-secrets verschlüsselt eine vorhandene Konfiguration an Ort und Stelle. |
Ja |
| Erzwungene Freigaben |
Freigabepflicht pro Provider oder pro Projekt, vom Server auf jedem Signierpfad geprüft, einschließlich der Roh-Digest-Signierung für signtool /dlib. Jede Freigabe signiert nur einmal. |
Nein |
| API-Key-Lebenszyklus |
Neu erzeugen mit einem Überlappungsfenster von bis zu 7 Tagen, bearbeitbares Ablaufdatum, Schlüsselbesitzer, eine Liste erlaubter Provider pro Schlüssel und Self-Service-Schlüssel für Operatoren mit api_keys.self_service. Ein Schlüssel kann seine Gültigkeit auch erst bei der ersten Verwendung beginnen: Er gilt N Tage ab seinem ersten authentifizierten Aufruf, mit einem erforderlichen Datum „aktivieren bis“, damit ein unbenutzter Schlüssel nie unbegrenzt gültig bleibt. Unterschlüssel funktionieren erst, wenn ihr übergeordneter Schlüssel aktiviert ist, die Aktivierung wird im Auditprotokoll als apikey.activate erfasst, und Community begrenzt beide Werte auf 30 Tage. |
Ein aktiver Schlüssel, Ablauf bis zu 30 Tage |
| PKCS#11-PIN-Wiederholungsschutz |
Beendet die Anmeldung an einem Token nach max_pin_attempts falschen PINs und verbraucht den letzten Versuch nur, wenn allow_final_pin_try gesetzt ist, sodass eine falsche PIN nie ein Hardware-Token sperrt. |
Nein (kein PKCS#11-Provider) |
| Standard-Zeitstempelserver |
Eine serverweite Liste von RFC-3161-Zeitstempelservern, die der Reihe nach mit automatischem Fallback probiert werden, tsa_urls pro Provider und no_timestamp, um den Zeitstempel bei einer einzelnen Anfrage zu überspringen. |
Ja |
sgcsign timestamp |
Fügt einer bereits per Authenticode signierten Datei einen RFC-3161-Zeitstempel hinzu und probiert dabei jeden --tsa-Server der Reihe nach. |
Ja |
--page-hashes |
Authenticode: fügt einen Hash pro 4-KB-Seite des Images hinzu, das Äquivalent zu signtool sign /ph, verwendet von Kernelmodus-Treibern mit Speicherintegrität (HVCI). |
Ja |
| Verschlüsselte geplante Backups |
Ein AES-256-GCM-Archiv mit der Konfiguration, der Datenbank, dem Hauptschlüssel und den Schlüssel- und Zertifikatsdateien, nach Zeitplan oder über die Konsole geschrieben. --archive restore stellt es wieder her oder zieht den Server auf einen neuen Rechner um. |
Ja |
| Überwachung des Zertifikatsablaufs |
Tägliche Prüfung der Signatur- und TLS-Zertifikate mit Warnungen bei 30, 14, 7 und 1 Tag im Dashboard, per cert.expiring-Webhook, E-Mail und Prometheus-Metrik. |
Nur Dashboard und E-Mail |
| E-Mail-Benachrichtigungen |
E-Mail bei Sperrungen, Änderungen von Zwei-Faktor-Authentifizierung und Passwort, fehlgeschlagenen Backups und ablaufenden Zertifikaten, über SMTP mit STARTTLS oder implizitem TLS. Unter Windows werden keine OpenSSL-Bibliotheken benötigt. |
Ja |
| Windows-Installer |
sgcSignServer_Setup.exe installiert den Windows-Dienst, legt den ersten Administrator an, öffnet den Firewall-Port und richtet TLS mit einem selbstsignierten Zertifikat oder einer vorhandenen PFX-Datei ein. |
Nein, Community läuft aus dem Zip mit start.bat (reines HTTP) |
| CLI-Profile |
sgcsign config hält Einstellungen in benannten Profilen und sgcsign auth set-key hinterlegt den API-Key, in der Delphi-CLI und im .NET-Tool esegece.sgcsign.cli. |
Ja |