| Aanmelden met twee factoren |
TOTP-codes uit een willekeurige authenticator-app plus 10 herstelcodes voor eenmalig gebruik. admin.require_2fa maakt het verplicht voor elke consolegebruiker, en een beheerder kan een verloren tweede factor opnieuw instellen. |
Ja |
| Aanmelden met OpenID Connect |
Consoleaanmelding via Microsoft Entra ID, Okta, Keycloak, Google of een andere standaardprovider, met PKCE. Gebruikers koppelen een externe identiteit aan hun account, en accountaanvragen kunnen optioneel op goedkeuring van een beheerder wachten. |
Ja |
| Beveiligde console |
Beveiligingsheaders en een strikte Content Security Policy bij elk antwoord, een configureerbaar wachtwoordbeleid, tijdelijke wachtwoorden die bij de eerste aanmelding worden vervangen, en sessies die eindigen wanneer de rol of de rechten erachter wijzigen. |
Ja |
| Geheimen versleuteld op schijf |
Providerwachtwoorden, pincodes, cloudreferenties en webhookgeheimen opgeslagen met AES-256-GCM onder een aan de machine gebonden hoofdsleutel. --protect-secrets versleutelt een bestaande configuratie ter plekke. |
Ja |
| Afgedwongen goedkeuringen |
Goedkeuring vereist per provider of per project, door de server gecontroleerd op elk ondertekeningspad, inclusief ondertekenen van ruwe digests voor signtool /dlib. Elke goedkeuring ondertekent een keer. |
Nee |
| Levenscyclus van API-sleutels |
Opnieuw genereren met een overlapperiode tot 7 dagen, aanpasbare vervaldatum, sleuteleigenaars, een lijst met toegestane providers per sleutel, en zelfbedieningssleutels voor operators met api_keys.self_service. Een sleutel kan zijn geldigheid ook pas bij het eerste gebruik laten beginnen: hij is N dagen geldig, geteld vanaf de eerste geauthenticeerde aanroep, met een verplichte datum “activeren vóór”, zodat een ongebruikte sleutel nooit eeuwig geldig blijft. Subsleutels werken pas als hun bovenliggende sleutel is geactiveerd, de activering wordt in het auditlogboek vastgelegd als apikey.activate en Community beperkt beide waarden tot 30 dagen. |
Een actieve sleutel, vervaldatum tot 30 dagen |
| PKCS#11 pincontrole bij herhaalde pogingen |
Stopt met aanmelden bij een token na max_pin_attempts onjuiste pincodes en gebruikt de laatste poging nooit tenzij allow_final_pin_try is ingesteld, zodat een verkeerde pincode een hardwaretoken nooit blokkeert. |
Nee (geen PKCS#11-provider) |
| Standaard tijdstempelservers |
Een serverbrede lijst met RFC 3161-tijdstempelservers die in volgorde worden geprobeerd met automatische terugval, tsa_urls per provider, en no_timestamp om de tijdstempel bij een aanvraag over te slaan. |
Ja |
sgcsign timestamp |
Voegt een RFC 3161-tijdstempel toe aan een bestand dat al met Authenticode is ondertekend, en probeert elke --tsa-server om beurten. |
Ja |
--page-hashes |
Authenticode: voegt één hash per pagina van 4 KB van de image toe, het equivalent van signtool sign /ph, gebruikt door kernelmodusdrivers met Geheugenintegriteit (HVCI). |
Ja |
| Versleutelde geplande back-ups |
Een AES-256-GCM-archief met de configuratie, de database, de hoofdsleutel en de sleutel- en certificaatbestanden, volgens schema of vanuit de console aangemaakt. --archive restore herstelt het of verhuist de server naar een nieuwe machine. |
Ja |
| Bewaking van de geldigheid van certificaten |
Dagelijkse controle van de ondertekenings- en TLS-certificaten met waarschuwingen bij 30, 14, 7 en 1 dag op het dashboard, via de cert.expiring-webhook, e-mail en een Prometheus-metric. |
Alleen dashboard en e-mail |
| E-mailmeldingen |
E-mail bij blokkeringen, wijzigingen van tweede factor en wachtwoord, mislukte back-ups en verlopende certificaten, via SMTP met STARTTLS of impliciete TLS. Op Windows zijn geen OpenSSL-bibliotheken nodig. |
Ja |
| Windows-installatieprogramma |
sgcSignServer_Setup.exe installeert de Windows-service, maakt de eerste beheerder aan, opent de firewallpoort en richt TLS in met een zelfondertekend certificaat of een bestaand PFX-bestand. |
Nee, Community draait vanuit de zip met start.bat (gewoon HTTP) |
| Opgeslagen CLI-profielen |
sgcsign config bewaart instellingen in benoemde profielen en sgcsign auth set-key slaat de API-sleutel op, in de Delphi-CLI en de .NET-tool esegece.sgcsign.cli. |
Ja |