SelfThreatMap

Live attack map straight from your local CrowdSec database.
Live-Angriffskarte direkt aus deiner lokalen CrowdSec-Datenbank.

Version License Backend Web Deploy Ko-fi

🇬🇧 English · 🇩🇪 Deutsch

📰 What's new / Neuigkeiten → CHANGELOG.md

🇬🇧 English

SelfThreatMap shows the attacks from your local CrowdSec database live on a world map — all attack points are visible on load, city names appear when you zoom in. It is a dashboard on top of an existing CrowdSec installation; it does not detect or block anything itself (that stays CrowdSec's job), but it can lift bans with one click.

Part of the Self family (SelfMailer, SelfStream, SelfArchiver, SelfDashboard …) — same design system, same deploy style (GHCR → Unraid). Built on the original CrowdSec Threat Map.

TL;DR — world map with 30+ flight-path styles · 50+ profiles · search, ban status & unban · dynamic self-IP whitelist · login + optional 2FA · 12 languages · works offline

📑 Table of contents

Features · Flight-path styles · Architecture · Quick start · Unraid · Configuration · Security · Tech stack · Development · Roadmap

✨ Features

🌍 Map

• Interactive world map with animated attack paths (D3.js) — all attack points visible on load
• 30+ flight-path styles — Honeypot arc (default, like the Honeypot64 live map), rocket, comet, laser, particle stream, arcs, impact rings and more
• 50+ one-click profiles — presets bundling style + theme + animation + density + mode (e.g. "All attacks (console)", "Static heatmap", "Comet rain", "Matrix mode", "Brute-force hunt"); your pick is remembered across reloads
• Attack-origin views — "Countries" opens a ranked list of every country (+ top cities) you were attacked from; the "ORIGINS" toggle plots every origin as a point, coloured by count, with collision-free labels (country names zoomed out, city names zoomed in), live
• Auto-fit zoom, city names visible all the way in (up to 25×)
• Replay loop — play the whole time window on an endless loop (24H / 48H, 0.5× / 1× / 2×)
• 10 colour themes — Cyan, Alarm, Matrix, Amber, Arctic, Cyber, Inferno, Mono, Synth, Ocean

📊 Feed & actions

• Real-time search by IP, country, city, scenario, ASN; scenario and country filters as chips
• Ban status & one-click unban straight from the dashboard (deletes decision and alert)
• Sparkline, top 10, live feed with pagination and CSV export
• IP lookups (CrowdSec CTI, Shodan, Censys, RIPE, RIPEstat, Criminal IP) from the context menu
• Dynamic IP whitelist — whitelists your own changing public IP every 15 min (no self-ban)

🎨 Platform

• 12 European languages (DE, EN, FR, ES, IT, PT, NL, PL, SV, DA, CS, EL) with in-app flag dropdown, remembered in the browser · fully responsive
• Fully self-contained — d3 and world-map data bundled locally; works offline, no external CDN calls
• Self design — dark teal/cyan theme from the shared Self brand kit

🚀 Flight-path styles

The signature feature: how each attack travels from its origin to your server. Pick from 30+ animated styles under Settings → Flight-path style (default: Rocket), with a live preview. Implemented in assets/js/rocket-styles.js — easy to extend.

🧭 Architecture

Browser ──▶ nginx :8080 ──┬─ /auth/*, login, setup, settings ──▶ auth.py (/config/auth.json)
                          ├─ / (dashboard, protected via auth_request)
                          └─ /metrics, /unban, /whitelist-status
                                          │
                                          ▼
                          crowdsec_exporter.py (127.0.0.1:9456)
                             │ reads crowdsec.db + GeoLite2-City.mmdb (read-only)
                             │ writes whitelist YAML (postoverflows)
                             └─ CrowdSec Local API (HTTP, machine login) → unban

🚀 Quick start (Docker)

docker run -d \
  --name selfthreatmap \
  --restart unless-stopped \
  -p 8080:8080 \
  -v /path/to/selfthreatmap/config:/config \
  -v /path/to/crowdsec/data:/crowdsec/data:ro \
  -v /path/to/crowdsec/postoverflows:/crowdsec/postoverflows \
  -e SERVER_LAT=52.5200 \
  -e SERVER_LON=13.4050 \
  -e SERVER_NAME=Berlin \
  -e LANGUAGE=en \
  -e CROWDSEC_LAPI_URL=http://crowdsec:8080 \
  -e CROWDSEC_LAPI_MACHINE_ID=selfthreatmap \
  -e CROWDSEC_LAPI_PASSWORD='long-password' \
  ghcr.io/s3lfcod3r/selfthreatmap:latest

Open http://<host>:8080 → create your admin user + password. Two-factor (TOTP) is optional — enable it afterwards under Settings by scanning the QR code (Google Authenticator / SelfAuthenticator). Compose file: docker/docker-compose.yml.

🔑 Unban via CrowdSec LAPI (no Docker socket): create a dedicated machine inside the CrowdSec container and pass its credentials: docker exec crowdsec cscli machines add selfthreatmap --password 'long-password' -f /dev/null (-f /dev/null matters — otherwise CrowdSec's own local_api_credentials.yaml is overwritten.) Without these values the map works, but unban is disabled.

💡 Tip: coordinates — right-click in Google Maps → "What's here?". CrowdSec data path: docker inspect crowdsec | grep -A5 "Mounts".

💡 GeoIP / city names: without a GeoIP database only country points are shown. Download MaxMind GeoLite2-City for free, put GeoLite2-City.mmdb into the CrowdSec data folder and restart the container.

📦 Unraid

Unraid → Apps → search selfthreatmap → install → fill in SERVER_LAT / SERVER_LON and the CrowdSec data path → Apply. Or add the template from https://raw.githubusercontent.com/s3lfcod3r/selfthreatmap/main/unraid/selfthreatmap.xml. Dashboard: http://YOUR-UNRAID-IP:8080.

⚠️ Mount /config: account, 2FA and session key live in /config/auth.json — without this volume your user is gone after an update.

⚙️ Configuration

Environment variables (no common prefix).

🛡️ Security

• Login + optional 2FA (TOTP) for the whole dashboard via nginx auth_request; first account is created in the browser — no secrets in env vars
• Signed session cookie (HttpOnly, SameSite=Strict); login rate limit and lockout after 5 failures (15 min)
• Unban fails closed — only with a valid session; rate-limited; IPs validated
• Exporter listens only on 127.0.0.1; no CORS *; CSP, Permissions-Policy, X-Frame-Options: DENY
• All backend fields are escaped in feed, tooltips and panels (XSS fixed); generic error messages instead of stack traces
• No external CDN — everything bundled locally
• No Docker socket: unban talks to the CrowdSec Local API with a dedicated machine account — the container has no access to the Docker host
• Deliberate trade-off (documented): that machine account can delete CrowdSec decisions — treat port 8080 like an admin UI, keep it on LAN/VPN, put it behind HTTPS (COOKIE_SECURE=true) if reachable from outside

Security update history → CHANGELOG.md (entries marked 🔒).

🧱 Tech stack

🛠️ Development

docker build -f docker/Dockerfile -t selfthreatmap .
docker compose -f docker/docker-compose.yml up -d

Style engine: assets/js/rocket-styles.js · profiles: assets/js/profiles.js · origins: assets/js/origins.js · translations: assets/i18n/.

🗺️ Roadmap

• 30+ flight-path styles, 50+ profiles, 10 themes, replay loop
• Attack-origin views, 12 languages, offline bundle
• Login + optional 2FA, security hardening
• Fast MMDB reader with IP cache and background refresh
• Test the 2.9.1 UI in the browser

⬆ back to top

🇩🇪 Deutsch

SelfThreatMap zeigt Angriffe aus deiner lokalen CrowdSec-Datenbank live auf einer Weltkarte — beim Aufruf sind alle Angriffspunkte sichtbar, beim Reinzoomen erscheinen Stadtnamen. Es ist ein Dashboard auf einer bestehenden CrowdSec-Installation; selbst erkennt oder blockt es nichts (das bleibt Aufgabe von CrowdSec), es kann aber Bans per Klick aufheben.

Teil der Self-Familie (SelfMailer, SelfStream, SelfArchiver, SelfDashboard …) — gleiches Design-System, gleicher Deploy-Stil (GHCR → Unraid). Basiert auf der ursprünglichen CrowdSec Threat Map.

Kurz — Weltkarte mit 30+ Bahn-Stilen · 50+ Profile · Suche, Ban-Status & Unban · dynamische Whitelist der eigenen IP · Login + optionale 2FA · 12 Sprachen · läuft offline

📑 Inhaltsverzeichnis

Funktionen · Bahn-Stile · Architektur · Schnellstart · Unraid · Konfiguration · Sicherheit · Tech-Stack · Entwicklung · Roadmap

✨ Funktionen

🌍 Karte

• Interaktive Weltkarte mit animierten Angriffsbahnen (D3.js) — beim Laden alle Angriffspunkte sichtbar
• Über 30 Bahn-Stile — Honeypot-Bogen (Standard, wie die Honeypot64-Live-Karte), Rakete, Komet, Laser, Partikel-Strom, Bögen, Einschlag-Ringe u. v. m.
• 50+ Ein-Klick-Profile — Voreinstellungen, die Stil + Theme + Animation + Dichte + Modus bündeln (z. B. „Alle Angriffe (Console)“, „Heatmap pur“, „Kometen-Regen“, „Matrix-Modus“, „Brute-Force-Jagd“); die Wahl bleibt nach dem Neuladen erhalten
• Herkünfte-Ansichten — „LÄNDER“ öffnet die Rangliste aller Länder (+ Top-Städte), aus denen du angegriffen wurdest; der Schalter „HERKÜNFTE“ zeigt jeden Herkunftsort als Punkt, nach Anzahl gefärbt, mit überlappungsfreien Beschriftungen (Länder herausgezoomt, Städte beim Reinzoomen), live
• Auto-Fit-Zoom, Stadtnamen bis ganz nah sichtbar (bis 25×)
• Replay-Schleife — das ganze Zeitfenster als Endlosschleife abspielen (24H / 48H, 0,5× / 1× / 2×)
• 10 Farbthemen — Cyan, Alarm, Matrix, Amber, Arctic, Cyber, Inferno, Mono, Synth, Ocean

📊 Feed & Aktionen

• Echtzeit-Suche nach IP, Land, Stadt, Szenario, ASN; Szenario- und Länderfilter als Chips
• Ban-Status & Unban per Klick direkt aus dem Dashboard (löscht Decision und Alert)
• Sparkline, Top 10, Live-Feed mit Seiten und CSV-Export
• IP-Abfragen (CrowdSec CTI, Shodan, Censys, RIPE, RIPEstat, Criminal IP) aus dem Kontextmenü
• Dynamische IP-Whitelist — setzt deine eigene wechselnde öffentliche IP alle 15 Min auf die Whitelist (kein Selbst-Ban)

🎨 Plattform

• 12 europäische Sprachen (DE, EN, FR, ES, IT, PT, NL, PL, SV, DA, CS, EL) mit Flaggen-Auswahl in der App, im Browser gemerkt · voll responsive
• Komplett eigenständig — d3 und Weltkarten-Daten lokal mitgeliefert; läuft offline, keine externen CDN-Aufrufe
• Self-Design — dunkles Teal/Cyan-Theme aus dem gemeinsamen Self-Brand-Kit

🚀 Bahn-Stile

Das Herzstück: wie jeder Angriff von der Quelle zu deinem Server fliegt. Über 30 animierte Stile unter Einstellungen → Bahn-Stil (Standard: Rakete), mit Live-Vorschau. Code: assets/js/rocket-styles.js — leicht erweiterbar.

🧭 Architektur

Browser ──▶ nginx :8080 ──┬─ /auth/*, Login, Einrichtung, Einstellungen ──▶ auth.py (/config/auth.json)
                          ├─ / (Dashboard, geschützt per auth_request)
                          └─ /metrics, /unban, /whitelist-status
                                          │
                                          ▼
                          crowdsec_exporter.py (127.0.0.1:9456)
                             │ liest crowdsec.db + GeoLite2-City.mmdb (nur lesend)
                             │ schreibt Whitelist-YAML (postoverflows)
                             └─ CrowdSec Local API (HTTP, Maschinen-Login) → Unban

🚀 Schnellstart (Docker)

docker run -d \
  --name selfthreatmap \
  --restart unless-stopped \
  -p 8080:8080 \
  -v /pfad/zu/selfthreatmap/config:/config \
  -v /pfad/zu/crowdsec/data:/crowdsec/data:ro \
  -v /pfad/zu/crowdsec/postoverflows:/crowdsec/postoverflows \
  -e SERVER_LAT=52.5200 \
  -e SERVER_LON=13.4050 \
  -e SERVER_NAME=Berlin \
  -e LANGUAGE=de \
  -e CROWDSEC_LAPI_URL=http://crowdsec:8080 \
  -e CROWDSEC_LAPI_MACHINE_ID=selfthreatmap \
  -e CROWDSEC_LAPI_PASSWORD='langes-passwort' \
  ghcr.io/s3lfcod3r/selfthreatmap:latest

http://<host>:8080 öffnen → Admin-Benutzer + Passwort anlegen. Zwei-Faktor (TOTP) ist optional — danach unter Einstellungen per QR-Code aktivieren (Google Authenticator / SelfAuthenticator). Compose-Datei: docker/docker-compose.yml.

🔑 Unban über die CrowdSec-LAPI (kein Docker-Socket): im CrowdSec-Container eine eigene Maschine anlegen und deren Zugangsdaten übergeben: docker exec crowdsec cscli machines add selfthreatmap --password 'langes-passwort' -f /dev/null (-f /dev/null ist wichtig — sonst wird CrowdSecs eigene local_api_credentials.yaml überschrieben.) Ohne diese Werte läuft die Karte, Unban ist dann deaktiviert.

💡 Tipp: Koordinaten — Rechtsklick in Google Maps → „Was ist hier?“. CrowdSec-Datenpfad: docker inspect crowdsec | grep -A5 "Mounts".

💡 GeoIP / Stadtnamen: Ohne GeoIP-Datenbank werden nur Länderpunkte angezeigt. MaxMind GeoLite2-City kostenlos laden, GeoLite2-City.mmdb in den CrowdSec-Datenordner legen, Container neu starten.

📦 Unraid

Unraid → Apps → selfthreatmap suchen → installieren → SERVER_LAT / SERVER_LON und den CrowdSec-Datenpfad eintragen → Anwenden. Oder die Vorlage von https://raw.githubusercontent.com/s3lfcod3r/selfthreatmap/main/unraid/selfthreatmap.xml hinzufügen. Dashboard: http://DEINE-UNRAID-IP:8080.

⚠️ /config einbinden: Konto, 2FA und Sitzungsschlüssel liegen in /config/auth.json — ohne dieses Volume ist dein Benutzer nach einem Update weg.

⚙️ Konfiguration

Umgebungsvariablen (ohne gemeinsames Präfix).

🛡️ Sicherheit

• Login + optionale 2FA (TOTP) für das ganze Dashboard über nginx auth_request; das erste Konto wird im Browser angelegt — keine Geheimnisse in Umgebungsvariablen
• Signiertes Sitzungs-Cookie (HttpOnly, SameSite=Strict); Begrenzung der Login-Versuche und Sperre nach 5 Fehlversuchen (15 min)
• Unban nur mit gültiger Sitzung (sonst gesperrt); mit Durchsatzbegrenzung; IPs werden geprüft
• Exporter lauscht nur auf 127.0.0.1; kein CORS *; CSP, Permissions-Policy, X-Frame-Options: DENY
• Alle Backend-Felder werden in Feed, Tooltips und Panels escaped (XSS behoben); allgemeine Fehlermeldungen statt Stacktraces
• Kein externes CDN — alles lokal mitgeliefert
• Kein Docker-Socket: Unban spricht mit eigenem Maschinen-Konto die CrowdSec Local API an — der Container hat keinen Zugriff auf den Docker-Host
• Bewusster Kompromiss (dokumentiert): Dieses Maschinen-Konto kann CrowdSec-Entscheidungen löschen — behandle Port 8080 wie eine Admin-Oberfläche, nur im LAN/VPN nutzen, bei Erreichbarkeit von außen hinter HTTPS legen (COOKIE_SECURE=true)

Verlauf der Sicherheitsupdates → CHANGELOG.md (Einträge mit 🔒).

🧱 Tech-Stack

🛠️ Entwicklung

docker build -f docker/Dockerfile -t selfthreatmap .
docker compose -f docker/docker-compose.yml up -d

Stil-Engine: assets/js/rocket-styles.js · Profile: assets/js/profiles.js · Herkünfte: assets/js/origins.js · Übersetzungen: assets/i18n/.

🗺️ Roadmap

• 30+ Bahn-Stile, 50+ Profile, 10 Themes, Replay-Schleife
• Herkünfte-Ansichten, 12 Sprachen, Offline-Paket
• Login + optionale 2FA, Sicherheitshärtung
• Schneller MMDB-Leser mit IP-Cache und Hintergrund-Aktualisierung
• Oberfläche von 2.9.1 im Browser testen

⬆ nach oben

☕ Support / Unterstützen

🇬🇧 This project is free for private use and built in my spare time. If it saves you time, a coffee keeps the next update coming. No pressure, a ⭐ on the repo helps too!

🇩🇪 Dieses Projekt ist für private Nutzung kostenlos und entsteht in meiner Freizeit. Wenn es dir Zeit spart, hält ein Kaffee das nächste Update am Laufen. Kein Muss, ein ⭐ auf dem Repo hilft auch!

Support me on Ko-fi

⚖️ Lizenz / License

🇩🇪 Alle Rechte vorbehalten. © 2026 s3lfcod3r / SelfCoder

Du darfst die Software privat und nicht-kommerziell installieren und benutzen (z. B. im Homelab, über Docker oder Unraid).

Ohne schriftliche Erlaubnis verboten: kommerzielle Nutzung · Kopieren · Verändern · Weitergeben · Einbauen in eigene Projekte (auch Closed Source) · Verkaufen.

Details: LICENSE

🇬🇧 All rights reserved. © 2026 s3lfcod3r / SelfCoder

You may install and use the software privately and non-commercially (e.g. in your home lab, via Docker or Unraid).

Not permitted without written permission: commercial use · copying · modifying · redistributing · incorporating into other projects (including closed source) · selling.

Details: LICENSE