Sicherheit und Ratenbegrenzung
Schutz vor Missbrauch
Registrierung, Anmeldung, Passwort-Zurücksetzen, das Entsperren von Statusseiten und das E-Mail-Abonnement werden pro E-Mail-Adresse oder Seite und pro Client-Adresse im Internet-Protokoll (IP) begrenzt. Nach zu vielen Versuchen wird die Aktion 10 Minuten lang blockiert, dann 1 Stunde, dann 1 Tag. Bei Anmeldung und Entsperren zählen nur fehlgeschlagene Versuche. Die Zähler werden nach 24 Stunden ohne Versuche zurückgesetzt.
Registrierung und E-Mail-Abonnement verlangen außerdem ein Proof-of-Work-Captcha, das in deinem Browser läuft.
Registrierung, Passwort-Zurücksetzen, Einladungen und Abmeldung antworten gleich, egal ob eine Adresse existiert.
Wie Daten geschützt werden
| Daten | Schutz |
|---|---|
| Kontopasswörter und Passwörter von Statusseiten | Gespeichert als BCrypt-Hashes. |
| Schlüssel der Programmierschnittstelle (API) | Gespeichert als SHA-256-Hashes und nur einmal angezeigt. |
| Token für geheime Links | 256 Bit Zufall. |
| Statusnachrichten | Markdown wird auf Überschriften, Hervorhebungen, Listen, Zitate und Code reduziert. Links, Bilder und HTML werden entfernt. |
| Monitore | Anfragen an Loopback-, private und interne Adressen werden blockiert, auch nach Änderungen im Domain Name System (DNS). |
Im Browser
Formulare verwenden Cross-Site Request Forgery (CSRF) Token. Seiten werden mit einem Content-Security-Policy-Header, einem Strict-Transport-Security-Header und einer strengen Referrer-Richtlinie ausgeliefert.
Trennung zwischen Diensten
Jede Seite im Backoffice prüft, ob du Mitglied des Dienstes bist und ob deine Rolle die Aktion erlaubt. Die Seiten eines anderen Dienstes antworten mit 403 oder 404.