Säkerhet och begränsning av försök
Skydd mot missbruk
Registrering, inloggning, lösenordsåterställning, upplåsning av statussidor och e-postprenumeration begränsas per e-postadress eller sida och per klientens adress i internetprotokollet (IP). Efter för många försök blockeras åtgärden i 10 minuter, sedan 1 timme, sedan 1 dag. Vid inloggning och upplåsning räknas bara misslyckade försök. Räknarna nollställs efter 24 timmar utan försök.
Registrering och e-postprenumeration kräver också en proof-of-work-captcha som körs i din webbläsare.
Registrering, lösenordsåterställning, inbjudningar och avprenumeration svarar likadant, oavsett om en adress finns.
Hur data skyddas
| Data | Skydd |
|---|---|
| Kontolösenord och lösenord för statussidor | Lagras som BCrypt-hashar. |
| Nycklar för programmeringsgränssnittet (API) | Lagras som SHA-256-hashar och visas en gång. |
| Token för hemliga länkar | 256 bitar slump. |
| Statusmeddelanden | Markdown reduceras till rubriker, betoning, listor, citat och kod. Länkar, bilder och HTML tas bort. |
| Övervakningar | Begäranden till loopback-, privata och interna adresser blockeras, även efter ändringar i Domain Name System (DNS). |
I webbläsaren
Formulär använder Cross-Site Request Forgery (CSRF) token. Sidorna levereras med en Content-Security-Policy-header, en Strict-Transport-Security-header och en strikt referrerpolicy.
Åtskillnad mellan tjänster
Varje sida i backoffice kontrollerar att du är medlem i tjänsten och att din roll tillåter åtgärden. En annan tjänsts sidor svarar med 403 eller 404.