Netzwerk- und Firewall-Anforderungen
Im Cloud-Modus erreicht der Daemon eine kleine, feste Menge herstellereigener ausgehender Ziele; im Private-Modus stellt er keine Analyse-Anfragen. Dies ist die vollständige Liste.
Egress-Allowlist
| Domain | Zweck | Modus |
|---|---|---|
update.poisonzero.com | Control Plane und Backend-API: Enrollment, Anmeldung und Token-Refresh, Policy-Abruf, Evaluation, Audit-Meldung und der Lizenz-Check-in | Cloud + Private |
cdn.poisonzero.com | Auth-geschützter, SHA-256-gepinnter Download von Inferenz-Engine und Erkennungsmodell | Nur Enterprise on-device |
4df093c3e409bb815ddaa9bc13b5abc9.eu.r2.cloudflarestorage.com | Hier landen diese Engine- und Modell-Downloads tatsächlich: cdn.poisonzero.com prüft die Anmeldung und leitet dann mit einem kurzlebig signierten Link auf diesen Speicher-Host weiter. Die Freigabe eröffnet keinen Dauerzugriff - ohne gültige, nicht abgelaufene Signatur gibt der Host nichts heraus. | Nur Enterprise on-device |
poisonzero.com und dl.poison0.com | Installer, Daemon-Binaries und Updates: poisonzero.com liefert die Versionsdatei und die SHA256SUMS-Vertrauensanker und leitet die eigentlichen Binary-Downloads auf dl.poison0.com um | Installation + Updates |
console.poisonzero.com, oder <slug>.poison0.com für eine isolierte Enterprise-Instanz | Mandanten-Konsole, im Admin-Browser geöffnet, nie vom Daemon | Nur Admin-Browser |
Alle Verbindungen sind ausgehendes HTTPS über TCP 443; der Daemon öffnet keinen eingehenden Listener, daher ist keine Firewall-Ingress-Regel nötig.
Der Private-Modus stellt keine Analyse-Anfragen: Memory-Inhalte verlassen die Maschine nie. Der einzige wiederkehrende Ausgang ist ein periodischer Lizenz-Check-in, der nur Anmeldedaten und Version trägt, nie Inhalte.
Weiterlesen
Die On-Device-Engine, die Inhalte lokal hält, läuft in einer kernel-erzwungenen Sandbox; der gesamte Schutz ist fail-closed.