Ce que l'agent lit, et ce qu'il envoie

L'agent gère le pare-feu (iptables et ipset), lit les logs et l'état réseau du système, et applique les corrections que vous demandez. Tout cela exige root. C'est un binaire Go statique unique, sans dépendances, qui tourne comme un service que vous pouvez arrêter à tout moment.

Ses règles de pare-feu se trouvent dans ses propres chaînes, nommées INFRAFENCE. Il ne modifie jamais vos règles et n'ajoute jamais de règle accept de lui-même : les seules règles accept sont celles que vous créez depuis le tableau de bord. Quand un autre outil recharge le pare-feu (csf -r, un rechargement d'ufw ou de firewalld, iptables-restore), l'agent remet ses chaînes en place.

Lire un fichier, ce n'est pas l'envoyer. Tout ce qui figure dans ce tableau est analysé sur le serveur ; la section suivante détaille ce qui en sort.

• Ses propres chaînes de pare-feu et ipsets : bannissements, liste d'autorisation, blocages de pays, ports fermés.
• Uniquement si vous activez Autoriser les modifications de la configuration du serveur web : ses règles ModSecurity et le blocage des user agents dans nginx ou Apache. Il ne modifie jamais une configuration gérée par un panneau d'hébergement.
• Uniquement quand vous, AutoMode ou le mode urgence le demandez : corrections de durcissement, ports fermés, blocages sortants, correctifs virtuels, mises à jour de sécurité et fichiers mis en quarantaine.

Chaque modification est vérifiée ensuite et annulée si SSH ou un site web ne répond plus. Le mode surveillance détecte tout et ne bloque rien, et une seule commande désinstalle l'agent et tout ce qu'il a ajouté.

Tout part vers le tableau de bord en HTTPS :

• un heartbeat régulier : version de l'agent, adresse, métriques système (CPU, mémoire, disque, charge, réseau), services et ports en écoute, le serveur web et les domaines qu'il sert, compteurs du pare-feu ;
• les événements de sécurité : l'adresse de l'attaquant, le type et l'heure de l'attaque, et les détails nécessaires pour la comprendre : pour une attaque web, la seule ligne de log qui l'a déclenchée ; pour un malware, le chemin du fichier et le texte trouvé ;
• la liste des paquets installés, pour le contrôle des vulnérabilités ;
• le hash SHA-256 des fichiers PHP analysés, pour les rechercher parmi les malwares connus.

Les logs et les fichiers complets ne quittent jamais le serveur. Il n'y a aucune télémétrie, et rien n'est partagé avec des tiers, à une exception près : les fonctions d'IA. Quand vous demandez une analyse IA, utilisez l'assistant ou préparez un rapport, et tant qu'AutoMode ou le mode urgence est actif, les événements nécessaires sont envoyés à Anthropic pour produire la réponse. Le tableau de bord vous le signale avant tout envoi. L'analyse instantanée, sur toutes les offres, n'envoie rien nulle part.

• Le jeton d'installation est à usage unique et valable une heure.
• Le jeton propre à l'agent est conservé dans /etc/infrafence/config.json, lisible par root uniquement. Le tableau de bord n'en stocke qu'un hash : une copie de sa base de données ne contient aucun jeton d'agent utilisable.
• Les modifications faites dans le tableau de bord parviennent à l'agent par un canal qui lui dit seulement de se synchroniser. L'agent récupère ensuite sa configuration en HTTPS avec son propre jeton : un message sur ce canal n'est jamais traité comme une instruction.
• Les mots de passe ne sont stockés que sous forme de hash. Les nouveaux mots de passe sont comparés aux fuites connues (Have I Been Pwned), et seuls les 5 premiers caractères de leur hash SHA-1 quittent votre navigateur.
• La double authentification (TOTP) est disponible pour chaque utilisateur. Une fois activée, c'est la base de données elle-même qui refuse les données de l'organisation à une session qui n'a pas passé l'étape du code. Approuver une action d'AutoMode exige une session 2FA.

Chaque version est compilée par GitHub Actions à partir du dépôt public, signée avec Cosign et publiée avec sa build provenance. L'agent n'installe une mise à jour que depuis les releases officielles sur GitHub, et seulement si son checksum et sa signature sont valides avec la clé publique intégrée à l'agent.

Pour vérifier vous-même le binaire de votre serveur, comparez son checksum avec celui de la release :

curl -sL https://github.com/infrafence/infrafence-agent/releases/latest/download/checksums.txt
sha256sum /usr/local/bin/infrafence-agent

Vérifiez sa signature Cosign :

cosign verify-blob \
  --key https://raw.githubusercontent.com/infrafence/infrafence-agent/main/cosign.pub \
  --signature https://github.com/infrafence/infrafence-agent/releases/latest/download/infrafence-agent-linux-amd64.sig \
  /usr/local/bin/infrafence-agent

Et sa build provenance, avec la GitHub CLI :

gh attestation verify infrafence-agent-linux-amd64 --repo infrafence/infrafence-agent

Pour une version antérieure, remplacez latest/download par download/v<version>. L'image de conteneur et le chart Helm sont signés eux aussi : voir SECURITY.md (en anglais).

L'agent est source-available sous la Business Source License 1.1 : vous pouvez lire et auditer chaque ligne avant de l'installer. L'usage en production est gratuit sur un nombre illimité de serveurs, y compris ceux de vos clients, tant que vous ne vous en servez pas pour proposer un produit concurrent. Quatre ans après la publication de chaque version, cette version passe sous licence Apache 2.0.

• HTTPS uniquement, avec HSTS pendant deux ans sur infrafence.com et tous ses sous-domaines.
• Une Content Security Policy stricte : des scripts provenant uniquement de notre domaine, chacun avec un nonce propre à chaque requête, et aucun affichage dans un cadre par d'autres sites.
• Des polices servies depuis notre propre domaine. Les cookies de mesure d'audience ou de publicité ne sont déposés que si vous les acceptez dans le bandeau cookies ; sans consentement, il n'y en a aucun.

Le tableau de bord et sa base de données tournent sur des serveurs de Contabo GmbH en Allemagne, dans l'Union européenne. Stripe, pour les paiements, et le fournisseur d'IA, quand vous utilisez les fonctions d'IA, peuvent traiter des données hors de l'UE sur la base des clauses contractuelles types de la Commission européenne ou d'une décision d'adéquation. Nous ne vendons ni ne louons jamais de données personnelles.

La Privacy Policy (en anglais) indique chaque destinataire et la durée de conservation de chaque type de données.

L'agent n'a jamais besoin du tableau de bord pour protéger le serveur : la détection, les bannissements et les blocages tournent tous sur le serveur. Les erreurs réseau, les délais dépassés, les échecs DNS et les erreurs serveur ne comptent jamais comme un refus : la protection reste donc active pendant toute la durée d'une panne. Les bannissements, la liste d'autorisation, les blocages de pays et les ports fermés restent en vigueur, les nouvelles attaques sont toujours bloquées, et les événements attendent dans une file jusqu'à ce que le tableau de bord réponde de nouveau.

Un refus, c'est autre chose : le tableau de bord refuse un agent dont le jeton a été révoqué, dont l'organisation est suspendue ou qui dépasse la limite de serveurs de son offre, par exemple après une résiliation ou une facture impayée.

1. Pendant les 24 premières heures, la protection locale reste en vigueur et l'agent continue de redemander.
2. Après 24 heures de refus sans une seule réponse favorable, l'agent désactive proprement sa protection : il retire ses chaînes de pare-feu et ses ipsets, ses règles du serveur web et sa surveillance antimalware, et la détection continue en mode surveillance uniquement. Les règles des autres outils ne sont jamais touchées.
3. Là où le système le permet, un avis à la connexion indique qu'InfraFence ne protège plus le serveur.
4. L'agent continue de redemander toutes les 30 minutes. À la première réponse favorable, la protection se réactive et l'avis est retiré.

Les propriétaires du compte reçoivent un e-mail 12 heures avant la désactivation, au moment de la désactivation et quand l'accès est rétabli.

Écrivez à info@infrafence.com, le contact indiqué dans notre security.txt. Merci de ne pas ouvrir d'issue publique sur GitHub. Si possible, joignez les étapes pour reproduire le problème. Nous répondons sous 48 heures et, avec votre accord, nous vous citons dans les notes de version. La politique complète se trouve dans SECURITY.md (en anglais).