Sicherheit
Sicherheit, jedes Mal auf dem Server entschieden
Unsere API prüft jede Anfrage: wer Sie sind, was Ihnen gehört und was Sie tun dürfen. So schützen wir Ihr Konto, Ihre Lizenz und die Software, die Sie herunterladen.
So schützen wir Sie
Schutz auf jeder Ebene
Serverseitige Autorisierung
Die API entscheidet über jede Sitzung, Lizenz, Aktivierung und jeden Download. Nichts wird dadurch geschützt, dass ein Button im Browser ausgeblendet wird.
Robuste Passwortspeicherung
Passwörter werden mit Argon2id gehasht. Wir verlangen mindestens 15 Zeichen und lehnen gängige Passwörter sowie Passwörter ab, die Ihre E-Mail-Adresse enthalten.
Geschützte Sitzungen
Sitzungscookies sind HttpOnly, sodass Skripte auf der Seite sie nicht lesen können. Sitzungen enden nach Inaktivität und nach einer festen Höchstdauer, und Sie können sie selbst beenden.
Cross-Site-Schutz
Anfragen, die etwas ändern, werden abgelehnt, wenn sie nicht von dieser Website stammen – auch bei gültiger Sitzung.
Kurzlebige Desktop-Token
Die Desktop-App arbeitet mit Zugriffstoken, die nach 15 Minuten ablaufen, und mit Refresh-Token, die bei jeder Verwendung rotiert werden.
Zwei-Faktor-Zugang für Mitarbeitende
Mitarbeitende benötigen zur Anmeldung einen Authenticator-Code und vor risikoreichen Aktionen einen neuen. Sitzungen von Mitarbeitenden laufen zudem früher ab.
Private, verifizierte Downloads
Installer werden nur über signierte Links ausgeliefert, die nach 5 Minuten ablaufen – mit SHA-256-Prüfsummen, die auf unseren Servern berechnet werden.
Nur ergänzbares Audit-Protokoll
Sensible Aktionen werden in einem Audit-Protokoll erfasst, in dem die Datenbank niemandem das Bearbeiten oder Löschen erlaubt. Passwörter, Schlüssel und Token werden aus unseren Logs entfernt.
Strenge Browser-Richtlinien
Jede Seite sendet eine Content Security Policy mit einem neuen Nonce-Wert, und andere Websites können diese Website nicht in einen Frame einbetten.
Aktuelle Limits im Überblick
- Passwort-Hashing
- Argon2id
- Mindestlänge für Passwörter
- 15 Zeichen
- Kundensitzungen
- Enden nach 60 Minuten Inaktivität, spätestens nach 12 Stunden
- Mitarbeitersitzungen
- Enden nach 15 Minuten Inaktivität, spätestens nach 8 Stunden
- Desktop-Zugriffstoken
- 15 Minuten
- Download-Link
- 5 Minuten
- Aktivierungscode
- 10 Minuten
- Link zur E-Mail-Bestätigung
- 24 Stunden, nur einmal gültig
- Link zum Zurücksetzen des Passworts
- 30 Minuten, nur einmal gültig
- Integrität der Installer
- SHA-256-Prüfsumme für jede Version
Wonach wir nie fragen
- Ihr Passwort
- Ihr Activation Key
- Einmalige Aktivierungscodes oder Authenticator-Codes
- Links zum Zurücksetzen des Passworts oder zur E-Mail-Bestätigung