Sicherheit ist kein Feature, das wir später hinzufügen – sie ist in jede Schicht unserer Architektur eingebaut. Wir folgen Defense-in-Depth-Prinzipien und gehen davon aus, dass jede einzelne Schicht kompromittiert werden könnte.
Authentifizierungsmethoden
Wir unterstützen mehrere Authentifizierungsmethoden, um Sicherheit und Benutzerfreundlichkeit zu balancieren:
- E-Mail/Passwort: Mit strengen Passwortanforderungen, Datenpannenerkennung und Kontosperrrichtlinien.
- Magic Links: Passwortloser Login per E-Mail-OTP zur Reduzierung der Anmeldedaten-Exposition.
- OAuth: Google- und GitHub-Integration über Supabase unter Nutzung ihrer Sicherheitsinfrastruktur.
- Enterprise SSO: SAML 2.0, OAuth 2.0 und OpenID Connect für organisationsverwaltete Identitäten.
- WebAuthn: Hardware-Sicherheitsschlüssel und biometrische Authentifizierung nach dem FIDO2-Standard.
- MFA: TOTP, SMS, E-Mail und WebAuthn als zweite Faktoren mit Backup-Codes zur Wiederherstellung.
CSRF-Schutz
Cross-Site Request Forgery wird durch mehrere Mechanismen verhindert:
- Token-Generierung mit crypto.getRandomValues()
- Tokens in X-CSRF-Token-Headern eingeschlossen
- Sitzungsbasierter Storage mit 1-Stunden-Ablauf
- X-Requested-With-Header-Validierung
- SameSite-Cookie-Attribute
Sicherheits-Header
Jede Antwort enthält umfassende Sicherheits-Header:
- X-Frame-Options: DENY — Verhindert Clickjacking
- X-Content-Type-Options: nosniff — Stoppt MIME-Sniffing
- Strict-Transport-Security — Erzwingt HTTPS mit Preload
- Content-Security-Policy — Schränkt Ressourcenursprünge ein
- Referrer-Policy: strict-origin-when-cross-origin
- Permissions-Policy — Verweigert Geolokalisierung, Kamera, Mikrofon
Rate-Limiting
Wir implementieren gestuftes Rate-Limiting, um Missbrauch zu verhindern und gleichzeitig legitimen Traffic zu erlauben:
- Login-Versuche: 5 Versuche pro 15 Minuten vor Sperrung
- API-Endpunkte: Per-Key-Limits basierend auf Abonnementstufe
- Tracking-Endpunkte: Höhere Limits zur Aufnahme von Traffic-Spitzen
- IP-Reputation: Automatisches Blockieren bekannter böswilliger Akteure
API-Schlüsselverwaltung
Externer API-Zugriff wird durch bereichsbegrenzte API-Schlüssel kontrolliert:
- Schlüssel werden verschlüsselt in der Datenbank gespeichert
- Per-Key-Rate-Limiting und Nutzungsverfolgung
- Bereichsbegrenzte Berechtigungen (vollständiger Zugriff vs. site-spezifisch)
- Sofortige Widerrufsmöglichkeit
- Automatische Ablaufoptionen
Prüfprotokollierung
Wir pflegen umfassende Prüfprotokolle für Sicherheit und Compliance:
- Alle Authentifizierungsereignisse (Login, Logout, fehlgeschlagene Versuche)
- Einstellungsänderungen mit Vor-/Nachher-Werten
- API-Schlüsselerstellung und -Widerruf
- Teammitgliedschaftsänderungen
- Abrechnungsereignisse und Abonnementänderungen
DSGVO-Compliance
Datenschutz ist ein Kernproduktfeature, kein Nachgedanke:
- Datenexportfunktionalität für Nutzeranfragen
- Recht auf Löschung mit vollständiger Datenlöschung
- Konfigurierbare Datenspeicherungsfristen
- Kein Cross-Site-Tracking oder Drittanbieter-Cookies
- IP-Anonymisierungsoptionen
- Cookie-Einwilligungsverwaltung