Слои защиты
Тот же VPS — до и после подключения.
Часть защиты Deploykin настраивает сам — при подключении сервера и создании сайта. Остальное включается из панели, когда оно нужно.
Вход по SSH
root по паролю, стандартный порт 22
По ключам: вход под root отключён, SSH переезжает на случайный порт
Файрвол
Выключен или не настроен — порты открыты
UFW включён: входящие закрыты, открыто только нужное
Сайты
Все работают под одним пользователем
У каждого свой пользователь, домашний каталог и пул PHP-FPM
Заголовки безопасности
Прописываются вручную в конфиге каждого сайта
X-Frame-Options, X-Content-Type-Options и Referrer-Policy — у каждого сайта сразу
Присмотр за кодом
Изменения файлов никто не замечает
Раз в час — проверка файлов, зависимостей и вредоносного кода
- SSL-сертификаты
- Fail2Ban
- CrowdSec · тариф Про
- SSH-мониторинг
- Basic Auth
- Двухэтапная проверка
Панель
Пять вопросов о защите. Ответы — в панели.
Выберите вопрос — панель откроет экран с ответом. Это копия панели с демо-данными — кликайте сами или смотрите тур.
Сервер
Закрыт снаружи ещё до первого сайта.
Deploykin настраивает sshd и файрвол во время установки, а дальше показывает каждое правило и каждую блокировку — без iptables и правки конфигов по SSH.
Файрвол UFWГибкие правила файрвола
по умолчанию
Готовые пресеты закрывают сервер в один клик, а своё правило — это порт, протокол, политика и адрес или подсеть источника. Правила, которые ведёт Deploykin, помечены как системные.
- Пресеты: закрыть всё входящее, только SSH, веб-трафик, приватный SSH, сервер БД
- Кастомные правила с фильтрацией по source IP
- Политика по умолчанию для входящих и исходящих
- Без правила для SSH файрвол не включится — вы не запрёте себя снаружи
Доступ по SSHКлючи вместо паролей, root закрыт
по умолчанию
При установке Deploykin создаёт пользователя deploykin с доступом по ключу, отключает вход под root и по паролю и переносит SSH со стандартного порта 22 на случайный.
- Вход под root отключён: PermitRootLogin no
- Вход по паролю отключается — или остаётся, если он вам нужен
- Случайный порт SSH, а порт 22 закрывается в файрволе
- SSH-ключи: RSA, ED25519, ECDSA
Применяется после установки
Fail2Ban · CrowdSecПодбор паролей кончается баном
один клик
Автоматическая блокировка IP при подборе паролей. Bantime increment для повторных нарушителей. Nginx-фильтры: HTTP auth, bot search, limit requests.
- Fail2Ban включается при создании сервера или ставится позже из пакетов
- Порог по умолчанию: 5 попыток за 10 минут — бан на час
- Джейл recidive: тех, кто возвращается, банит на неделю
- CrowdSec на тарифе Про и Ubuntu 24.04: WAF перед сайтами и блок-лист сообщества
SSL-сертификатыSSL в один клик и авто-продление
один клик
Let's Encrypt выпускается из панели в один клик и дальше продлевается автоматически. Статусы: pending, active, expired, failed — всегда на виду. Алерт за 14 дней до истечения.
- Загрузка собственных сертификатов (custom upload)
- Сертификат покрывает все имена сайта
- Редирект с HTTP на HTTPS — как только сертификат установлен
действует
Присмотр
Проверяет сам — по расписанию.
Deploykin не ждёт, пока вы зайдёте в панель: журнал входов, код сайтов и сроки сертификатов он проверяет по расписанию и пишет команде, когда что-то не так.
5минут
Журнал входов по SSH
Адреса, с которых уже заходили, Deploykin запоминает. О входе с нового сообщает команде: кто вошёл, с какого IP и как — по ключу или паролю.
включается в настройках серверавход с нового IP — алерт в Telegram и на почту
1час
Проверка каждого сайта
composer audit и npm audit, изменения файлов — по git и бейзлайну, поиск веб-шеллов и обфусцированного кода. Пути-исключения настраиваются.
по умолчаниюnpm audit: 1 предупреждение — алерт и отчёт
14 · 7 · 3дня
Срок SSL-сертификатов
Алерты за 14, 7 и 3 дня до истечения — и когда сертификат истёк. Let's Encrypt продлевается автоматически.
по умолчаниюдо истечения 3 дня — алерт
90дней
Служебный SSH-ключ
Ключ, с которым Deploykin подключается к серверу, меняется по расписанию — без вашего участия.
по умолчаниюключ заменён — следующая ротация через 90 дней
Изоляция сайтов
Взлом одного сайта не открывает остальные.
Каждый сайт работает под отдельным системным пользователем с изолированной домашней директорией. Компрометация одного не затрагивает другие.
- Каталог
/home/shop- PHP-FPM
- свой пул
- Каталог
/home/blog- PHP-FPM
- свой пул
- Каталог
/home/crm- PHP-FPM
- свой пул
~$ whoami
blog
~$ cat ../shop/.env
cat: ../shop/.env: Permission denied
- Свой домашний каталог, закрытый от остальных сайтов
- Свой пул PHP-FPM — код сайта выполняется от его пользователя
- Каталоги /home и /var/www закрыты от просмотра
- Терминал сайта открывается под тем же пользователем
Аккаунт и команда
Вход в панель тоже под защитой.
Аккаунт Deploykin открывает путь ко всем вашим серверам, поэтому вход в него защищён отдельно: вторым фактором, ключами безопасности и списком активных сессий.
- Двухэтапная проверка: код из приложения и резервные коды
- Ключи безопасности и passkey — вход без пароля, который не украсть фишингом
- Вход только с ваших адресов: офис, VPN или целая подсеть
- Четыре роли: владелец, администратор, разработчик и наблюдатель
- Доступ к root выдают владелец и администратор — владелец узнаёт об этом сразу
Где выполнен вход
Хранилище ключей
SSH-ключи команды — в одном хранилище.
Ключи команды хранятся зашифрованными и раскатываются на серверы автоматически. Новый пользователь получает нужные ключи сразу, а массовая установка накатывает их на все серверы разом.
- Командное хранилище с шифрованием ключей
- Автоустановка ключей новым пользователям сервера
- Массовая синхронизация на все серверы разом
- Ротация служебного ключа Deploykin
ED2551912 пользователей · 4 сервераED2551912 пользователей · 4 сервераRSA 409612 пользователей · 4 сервераВ панели 203.0.113.21 Подключить готово за 4 мин 52 с
Безопасность включена по умолчанию.
Подключите сервер — файрвол, вход по ключам и изоляция сайтов настроятся автоматически.
- 7 дней бесплатно
- Без привязки карты
- Поддержка на русском