Las contraseñas en Aether Panel están protegidas con:

• Hashing con bcrypt (costo por defecto: 10) — nunca se almacenan en texto plano
• Cada llamada a SetPassword() genera un nuevo hash con salt automático
• El campo de contraseña tiene tamaño máximo de 200 caracteres en BD

Los scopes controlan el acceso a funcionalidades específicas. Ejemplos de los ~80 scopes definidos:

• admin — Acceso administrativo completo (hereda todos los scopes)
• server.view — Ver información de servidores
• server.start / server.stop / server.kill — Control de estado
• server.console / server.console.send — Acceso a consola
• server.files.view / server.files.edit — Gestión de archivos
• server.backup.create / server.backup.restore — Backups
• server.sftp — Acceso SFTP
• nodes.view / nodes.create / nodes.edit / nodes.delete — Gestión de nodos
• users.info.view / users.info.edit — Gestión de usuarios

Los roles agrupan múltiples scopes para asignación masiva a usuarios. La verificación de permisos combina: (1) los scopes del rol del usuario, (2) los scopes globales del usuario, y (3) los scopes por servidor.

• Crea roles específicos para diferentes tipos de usuarios
• Revisa regularmente los permisos asignados a cada rol
• No otorgues el scope `admin` a menos que sea absolutamente necesario

UUID v4 aleatorio SHA256 hash almacenado en BD. El token original nunca se persiste, solo su hash. La sesión expira en 1 hora y se valida en cada petición.

Firmados con Ed25519 (EdDSA). La clave privada se genera aleatoriamente en el primer inicio y se almacena en la configuración. La clave pública se expone via JWKS. El key ID es 'SkyPanel'.

Cada nodo tiene un secreto único generado como UUID sin guiones. El secreto se almacena en la base de datos y se compara directamente para autenticar la comunicación nodo-panel. Los nodos locales usan una comparación directa con el modelo LocalNode.

Para configurar el firewall con UFW:

# Permitir puertos necesarios
sudo ufw allow 8080/tcp
sudo ufw allow 5657/tcp
sudo ufw allow 8081/tcp

# Habilitar firewall
sudo ufw enable

# Verificar estado
sudo ufw status

Para configurar el firewall con firewalld:

# Permitir puertos necesarios
sudo firewall-cmd --permanent --add-port=8080/tcp
sudo firewall-cmd --permanent --add-port=5657/tcp
sudo firewall-cmd --permanent --add-port=8081/tcp

# Aplicar cambios
sudo firewall-cmd --reload

# Verificar reglas
sudo firewall-cmd --list-ports

Configura un proxy reverso Nginx con Certbot para SSL automático:

1. Instala Nginx: sudo apt install nginx (Ubuntu/Debian)
2. Configura Nginx como proxy reverso hacia localhost:8080
3. Instala Certbot: sudo apt install certbot python3-certbot-nginx
4. Obtén certificado: sudo certbot --nginx -d tu-dominio.com
5. Verifica renovación automática: sudo certbot renew --dry-run

Los certificados de Let's Encrypt expiran cada 90 días. Certbot los renueva automáticamente.

Los certificados auto-firmados solo deben usarse en entornos de desarrollo.

Los navegadores mostrarán advertencias de seguridad con certificados auto-firmados.

Revisa regularmente los logs del panel para detectar:

• Errores de autenticación y tokens inválidos
• Peticiones a rutas sin permisos suficientes (403)
• Errores de conexión a nodos o base de datos
• Actividad anormal de API o patrones sospechosos
• Panics recuperados por el middleware de recovery

La mejor respuesta a incidentes es prevenirlos. Sigue todas las mejores prácticas, mantén el panel actualizado, monitorea los logs y aplica el principio de menor privilegio en los scopes.