Sécurité et fonctionnement responsable

Guide public mis à jour : 17 octobre 2026 pour la construction de la v5. Il s'agit d'un guide de produit, et non d'une certification ou d'une évaluation complète de la sécurité.

LifeRaft OS est un logiciel autonome. La sécurité combine donc les sauvegardes de la plate-forme, les mises à jour LifeRaft OS en temps opportun et la façon dont chaque client exploite son propre serveur, ses comptes, ses intégrations et ses données.

La sécurité est traitée comme une pratique d'exploitation permanente, et non comme une affirmation que tout système d'accès à Internet est invulnérable.

Ce que fournit LifeRaft OS

• Connaissez les flux de travail de base et d'ajout.
• Demander la validation, la sortie, la protection du CSRF et les actions administratives surveillées.
• Contrôles de sécurité des comptes qui peuvent être renforcés avec RLX MFA et les compléments de sécurité connexes.
• Limites de stockage et de téléchargement conçues pour les déploiements PHP auto-organisés. Le package autonome Landing refuse également l'accès direct au web à ses répertoires internes incluant, contenu et données sur Apache et IIS.
• Les mesures de protection existantes comprennent la fourniture de ressources privées surveillées, la validation des paquets administratifs, les redirections vers l'extérieur contrôlées et le traitement des transactions d'achat. Les opérateurs devraient vérifier les règles du serveur et le comportement de paiement sur leur propre déploiement.
• Audit, confidentialité, conservation, sauvegarde et add-ons défensifs qui peuvent être sélectionnés pour les besoins d'une installation particulière.
• Vérification de la publication et tests de régression dans le catalogue de base et de l'ajout enregistré.
• Liste d'attente et barrières d'approbation optionnelles pour limiter l'accès à certains prix ou outils tout en gardant l'information publique sur les produits à découvrir.
• Les contrôles privilégiés de contenu riche qui restent désactivés par défaut et peuvent être limités aux administrateurs ou à des rôles de confiance spécifique.

La documentation publique explique ces protections à un niveau de produit utile. Des règles défensives exactes, des itinéraires privés, des détails de signature, des secrets, une topologie de l'infrastructure et des configurations spécifiques à la clientèle sont intentionnellement exclus.

Profils, marques et groupes communautaires

V5 permet à un profil ou une marque de présenter des médias et des groupes communautaires admissibles. L'affichage d'un groupe dans une autre page n'accorde pas l'adhésion d'un visiteur : les auditoires de la section et les règles de participation s'appliquent toujours. Les invitations, les membres actifs, les rôles de personnel visés et la visibilité médiatique initiale demeurent des vérifications distinctes.

Les groupes d'utilisateurs principaux contrôlent les permissions et l'admissibilité du site, y compris ceux qui peuvent créer ou intégrer des groupes communautaires. Les rôles du personnel des groupes communautaires s'appliquent au sein de leur propre groupe.

Les modes réservés aux membres et de déverrouillage par pièces de Gallery contrôlent l’accès aux images protégées ; ils ne vérifient pas l’âge du visiteur. Les abonnements Fans et les offres Membership Pro ont leurs propres règles d’accès. Une couche unifiée d’autorisation et d’isolation entre les produits, ainsi que des intégrations supplémentaires de vérification de l’âge, restent prévues. Un code d’invitation, un abonnement ou un rôle d’administrateur ne fournit pas ces garanties à lui seul.

Données de référence recommandées pour le déploiement

Chaque opérateur de production devrait:

1. Utilisez une version PHP actuellement prise en charge et gardez le système d'exploitation, le serveur web, PHP runtime, et les dépendances corrigées.
2. Servir le site via HTTPS avec un certificat valide et une configuration TLS moderne.
3. Conserver le stockage en écriture, les sauvegardes, les secrets et les fichiers opérationnels en dehors de l'accès public au Web partout où la mise en page d'hébergement le permet.
4. Accorder le processus web seulement le système de fichiers et les permissions de base de données dont il a besoin.
5. Protégez les comptes administrateur avec des mots de passe uniques et une authentification multi-facteurs.
6. Restreindre les types et tailles de téléchargement aux formats réellement requis par les workflows installés.
7. Maintenez les sauvegardes testées, en version et confirmez que la restauration fonctionne avant une urgence. mirror/backups/ hors de déploiement.
8. Examiner les registres, les inscriptions ratées, l'activité administrative, la croissance du stockage et la mise à jour de l'état sur un calendrier régulier.
9. Supprimer les compléments et intégrations inutilisés plutôt que de laisser le code inactif ou les identifiants en place.
10. Tester les mises à niveau dans une copie de développement ou de mise en scène avant de les appliquer à une communauté de production occupée.
11. Traiter l'auteur de CSS/JavaScript personnalisé comme une autorité de niveau administrateur et ne l'activer que pour des rôles entièrement fiables.
12. Confirmer que les prix ou les outils protégés sont absents des réponses des visiteurs, pas simplement cachés avec le style côté navigateur.

Responsabilité partagée

Realystic maintient LifeRaft OS noyau et officiellement RLX code add-on, guide de publication, et les mises à jour admissibles pendant la période de licence et de support applicable.

L'exploitant du site reste responsable du serveur, du réseau, du DNS, du courrier électronique, des sauvegardes, des identifiants, de l'accès à l'administrateur, du code de tiers installé, des services externes, de la configuration du fournisseur de paiement, du contenu téléchargé, des choix de confidentialité, de la modération et des obligations légales locales. Les add-ons de sécurité supportent ce travail; ils ne remplacent pas l'administration prudente du serveur.

Signaler un problème de sécurité

Veuillez signaler en privé un problème de sécurité complémentaire LifeRaft OS ou officiel RLX par l'intermédiaire de l'adresse de contact sur ce site. Inclure le produit et la version touchés, une description concise, des détails de reproduction sécuritaires et l'impact potentiel.

Ne pas accéder aux données des autres utilisateurs, perturber un service en direct, publier des détails sensibles ou tester l'infrastructure sans l'autorisation explicite du propriétaire. Les rapports sont examinés dans leur contexte et une coordination responsable est appréciée. Une prime ou une récompense publique ne doit pas être assumée à moins qu'elle n'ait été convenue par écrit avant l'essai.

Allégations que nous évitons délibérément

LifeRaft OS ne se décrit pas comme un hackable, résistant aux brèches ou immunisé contre les attaques. Il ne publie pas non plus les règles du pare-feu des clients, la télémétrie défensive en direct, les adresses de serveur, les contrats d'arrêt privés ou les détails d'exploitation spécifiques à l'exploitation en tant que matériel de marketing.

L'objectif est plus silencieux et plus utile : des défauts raisonnables, des garanties en couches, des limites honnêtes, des mises à jour à jour et des conseils clairs pour les personnes qui exploitent chaque installation auto-accueillée.