Sicherheit

Anmeldung & Sitzungen

• Anmeldung ausschließlich über Discord (OAuth2, signierter state, nur interne Weiterleitungsziele). Wir speichern kein Passwort.
• Sitzungen liegen in einem HttpOnly-, Secure-, SameSite-Cookie; in der Datenbank steht nur ein Hash. Sitzungen laufen nach 7 Tagen ab, beim Plattform-Team nach 12 Stunden bzw. 2 Stunden Leerlauf.
• Unter Meine Daten → Sitzungen siehst du alle aktiven Sitzungen und kannst sie beenden oder dich überall sonst abmelden.
• Optionale Zwei-Faktor-Anmeldung (TOTP, Wiederherstellungscodes); sensible Admin-Aktionen verlangen eine frische Bestätigung.

Zugriffsrechte

• Jede Server-Route prüft serverseitig, ob du Verwalter bist oder als Team-Mitglied das passende Recht hast – nie nur im Browser. Ein automatischer Test ruft alle über 300 Routen anonym und als Fremder auf (auch schreibend).
• Schreibende Anfragen brauchen zusätzlich die passende Herkunft (Origin-Prüfung gegen CSRF).
• API-Schlüssel gelten für genau einen Server, sind auf Rechte beschränkt, werden nur als Hash gespeichert und sind jederzeit widerrufbar.

Schutz vor Missbrauch

• Anfragebegrenzung je Routenklasse und je Schlüssel, Größenlimit für Anfragen, kurze Sperre bei vielen fehlgeschlagenen Zugriffen, Zeitlimit für Datenbankabfragen.
• Ausgehende Webhooks und Feeds nur zu öffentlichen https-Zielen (Schutz vor Zugriffen auf interne Systeme), Signatur mit Zeitstempel gegen Wiederholung.
• Regy AI läuft über einen serverseitigen Zugang; Geheimnisse werden aus Eingaben und Antworten entfernt, Vorschläge werden nie ohne deine Bestätigung ausgeführt. Nutzertexte können den Datenblock der KI nicht verlassen (getestet gegen Prompt-Injection).

Transparenz & Nachvollziehbarkeit

• Das Audit-Log ist per Hash-Kette gegen nachträgliche Änderungen gesichert; Administratoren können die Integrität jederzeit prüfen. Es wird nie automatisch gelöscht.
• Logs enthalten keine Token, Schlüssel oder Passwörter (automatische Schwärzung); IP-Adressen werden nur gekürzt gespeichert.
• Eine Live-Sicherheitsprüfung (Header, CORS, Cookies, TLS, versteckte Pfade) läuft als Teil unserer Tests gegen die echten Adressen.

Datenschutz

Datenexport, Konto- und Serverdaten-Löschung sowie Aufbewahrungsfristen findest du unter Datenschutz.

Schwachstelle melden

Hast du ein Sicherheitsproblem gefunden? Bitte melde es über Support (Betreff „Sicherheit“) und veröffentliche es erst nach unserer Rückmeldung. Bitte greife keine Konten oder Daten anderer an, starte keine Lasttests und teste nur mit eigenen Konten. Die maschinenlesbare Fassung steht in security.txt.