- TLS через подключаемый overlay docker-compose.tls.yml + Caddyfile:
Caddy сам получает и продлевает сертификат Let's Encrypt, HSTS
добавляется на уровне прокси — намеренно там, а не в nginx.conf,
иначе установки без TLS заперли бы сами себя;
- проверка заголовка Host против DNS rebinding: AURUM_ALLOWED_HOSTS,
по умолчанию localhost и 127.0.0.1, чужой Host получает 421 с
подсказкой, какую переменную поправить;
- «запомнить меня на 7 дней» вернулось в безопасном виде: пароль
шифруется AES-GCM ключом с extractable: false в IndexedDB, вместо
прежнего base64 в localStorage, который разворачивался обратно в
пароль одним atob. Требует secure context, поэтому по обычному HTTP
к LAN-адресу чекбокс не показывается, а не притворяется рабочим;
- аудит-лог необратимых операций (восстановление бэкапа, массовое
создание транзакций, удаление счёта) в лог контейнера. Не в БД
сознательно: таблица аудита исчезла бы ровно в том событии, которое
должна объяснять;
- README: раздел про TLS и таблица двух переменных, решающих, кто
может достучаться до инстанса.
Aurum — a self-hosted personal finance operating system: cash flow,
net worth tracking, budgets, goals, recurring payments, reports,
proactive alerts, and a compound-interest returns calculator, all
bilingual (RU/EN) and mobile-first. Ships as a three-container Docker
Compose stack (Postgres + FastAPI + nginx-served React frontend).
See README.md for setup and CONTRIBUTING.md for development.
