Sikkerhet og begrensning av forsøk
Beskyttelse mot misbruk
Registrering, innlogging, tilbakestilling av passord, opplåsing av statussider og e-postabonnement begrenses per e-postadresse eller side og per klientens adresse i internettprotokollen (IP). Etter for mange forsøk blokkeres handlingen i 10 minutter, deretter 1 time, deretter 1 dag. Ved innlogging og opplåsing teller bare mislykkede forsøk. Tellerne nullstilles etter 24 timer uten forsøk.
Registrering og e-postabonnement krever også en proof-of-work-captcha som kjører i nettleseren din.
Registrering, tilbakestilling av passord, invitasjoner og avmelding svarer likt, uansett om en adresse finnes.
Hvordan data beskyttes
| Data | Beskyttelse |
|---|---|
| Kontopassord og passord for statussider | Lagret som BCrypt-hasher. |
| Nøkler for programmeringsgrensesnittet (API) | Lagret som SHA-256-hasher og vist én gang. |
| Tokens for hemmelige lenker | 256 bit tilfeldighet. |
| Statusmeldinger | Markdown reduseres til overskrifter, utheving, lister, sitater og kode. Lenker, bilder og HTML fjernes. |
| Overvåkinger | Forespørsler til loopback-, private og interne adresser blokkeres, også etter endringer i Domain Name System (DNS). |
I nettleseren
Skjemaer bruker Cross-Site Request Forgery (CSRF) tokens. Sidene leveres med en Content-Security-Policy-header, en Strict-Transport-Security-header og en streng referrer-policy.
Skille mellom tjenester
Hver side i backoffice sjekker at du er medlem av tjenesten og at rollen din tillater handlingen. En annen tjenestes sider svarer med 403 eller 404.