# Segurança

- **Sem firewall** (decisão do proprietário). Portas expostas: apenas SSH (22) +
  Tailscale. Serviços de rede ociosos foram removidos (rpcbind, dnsmasq, ADB, etc.).
- SSH: sem login root por senha, sem senha vazia, verificação de host mantida.
  Chaves existentes preservadas; nenhuma chave privada é exibida ou incluída em
  backup por padrão.
- MOTD/dashboard/logs não exibem segredos (senhas, tokens, chaves).
- Atualizações de segurança do Debian habilitadas (`bookworm-security`).
- `zion serve` liga o HTTP **apenas** ao IP do Tailscale (não à LAN).
- Recuperação: console serial `ttyFIQ0` ativo.