Sicherheitshinweise
Sicherheit ist kein nachträglicher Aufsatz, sondern von Anfang an eingebaut. Hier kurz und ehrlich, wie Konten und Daten geschützt werden.
Passwörter
Anmeldepasswörter fürs Kundenportal werden als bcrypt-Hash gespeichert, nie im Klartext. Aus einem Hash lässt sich das Passwort nicht zurückrechnen. Ein vergessenes Passwort kann deshalb auch der Betreiber nicht nachsehen, sondern nur zurücksetzen.
Schutz der Konten
- Anmelde-Token (JWT) mit kurzer Ablaufzeit
- Rate-Limiting gegen automatisiertes Durchprobieren (Brute-Force)
- Cloudflare Turnstile als Bot-Schutz an Formularen
- Durchgehend verschlüsselte Übertragung über HTTPS/TLS
Verschlüsselung der Daten
- Zugangsdaten zu E-Mail-Postfächern (IMAP und SMTP) liegen AES-256-verschlüsselt in der Datenbank, mit einem eigenen Schlüssel je Betrieb, der selbst noch einmal verschlüsselt abgelegt ist
- Ebenso verschlüsselt: Dateien im geschützten Arbeitsbereich, Kontaktdaten und die Bögen der Terminvorbereitung
- Alle Verbindungen sind TLS-verschlüsselt
- Server und Sicherungen stehen in Deutschland
- Server stehen hinter dem Cloudflare-CDN mit DDoS-Schutz
Sicherheitsproblem melden
Wer eine Schwachstelle entdeckt, kann sie vertraulich melden an kontakt@meluciolabs.de. Hinweise werden ernst genommen und zeitnah bearbeitet.