Beveiliging en limieten op pogingen
Bescherming tegen misbruik
Registratie, inloggen, wachtwoord resetten, het ontgrendelen van statuspagina’s en e-mailabonnementen worden beperkt per e-mailadres of pagina en per adres van het internetprotocol (IP) van de client. Na te veel pogingen wordt de actie 10 minuten geblokkeerd, daarna 1 uur, daarna 1 dag. Bij inloggen en ontgrendelen tellen alleen mislukte pogingen. De tellers worden na 24 uur zonder pogingen gereset.
Voor registratie en e-mailabonnementen is ook een proof-of-work-captcha nodig die in je browser draait.
Registratie, wachtwoord resetten, uitnodigingen en afmelden reageren hetzelfde, of een adres nu bestaat of niet.
Hoe gegevens worden beschermd
| Gegevens | Bescherming |
|---|---|
| Accountwachtwoorden en wachtwoorden van statuspagina’s | Opgeslagen als BCrypt-hashes. |
| Sleutels van de applicatieprogrammeerinterface (API) | Opgeslagen als SHA-256-hashes en één keer getoond. |
| Tokens van geheime links | 256 bit aan willekeur. |
| Statusberichten | Markdown wordt teruggebracht tot koppen, nadruk, lijsten, citaten en code. Links, afbeeldingen en HTML worden verwijderd. |
| Monitors | Verzoeken naar loopback-, privé- en interne adressen worden geblokkeerd, ook na wijzigingen in het Domain Name System (DNS). |
In de browser
Formulieren gebruiken Cross-Site Request Forgery (CSRF) tokens. Pagina’s worden geleverd met een Content-Security-Policy-header, een Strict-Transport-Security-header en een strikt referrerbeleid.
Scheiding tussen services
Elke back-officepagina controleert of je lid bent van de service en of je rol de actie toestaat. De pagina’s van een andere service antwoorden met 403 of 404.