Sicherheit
So ist diese Website geschützt.
Ohne große Worte und ohne Zertifikate, die ich nicht habe: Unten stehen die Maßnahmen, die wirklich im Code dieser Website laufen. Genauso richte ich auch die Websites für Kunden ein.
Maßnahmen
Was umgesetzt ist.
Jede Maßnahme in einem Satz. Was nicht aufgeführt ist, ist nicht versprochen.
HTTPS überall
Jede Verbindung ist verschlüsselt, und der HSTS-Header (zwei Jahre, mit Preload-Kennzeichnung) weist den Browser an, die Website nur über HTTPS zu öffnen.
Sicherheits-Header
Eine Content Security Policy (CSP) legt fest, woher Skripte und Bilder geladen werden dürfen; dazu Schutz vor dem Einbetten in fremde Frames und vor dem Erraten von Dateitypen.
Verschlüsselte Passwörter
Passwörter werden nur als Argon2id-Hash gespeichert, nie in lesbarer Form, und müssen mindestens 12 Zeichen haben.
Zwei-Faktor-Anmeldung
Die Verwaltung unterstützt die Anmeldung mit einem Code aus einer Authenticator-App und mit Reservecodes; nach zu vielen Fehlversuchen wird die Anmeldung vorübergehend gesperrt.
Schutz der Formulare
Das Kontaktformular hat eine Falle für Bots und eine Begrenzung der Sendungen von derselben Netzwerkadresse; alle Eingaben prüft der Server vor dem Speichern.
Kartenzahlungen über Stripe
Sobald die Kartenzahlung eingeschaltet ist, zahlen Sie auf der Zahlungsseite von Stripe, deshalb kommen Kartendaten nie auf diese Website; die Zahlung bestätigt nur eine signierte Nachricht von Stripe.
Nur nötige Daten, mit Frist
Automatisches Löschen jede Nacht: Gespräche mit dem Assistenten nach 30 Tagen, Besuchsstatistik nach 14 Monaten, Anfragen nach 24 Monaten.
Hosting in der EU
Die Website läuft auf Servern von Vercel in Frankfurt (EU), die Datenbank bei Supabase ebenfalls in Frankfurt (EU).
Die KI veröffentlicht nichts selbst
Texte, die die künstliche Intelligenz für die Website oder E-Mails vorschlägt, sind Entwürfe — gespeichert oder verschickt werden sie von einem Menschen; der Chat-Assistent auf der Website ändert nichts.
Prüfen Sie selbst
Glauben Sie mir nicht einfach.
Drei unabhängige Tests, jeweils mit bereits eingetragener Domain. Sie öffnen sich in einem neuen Tab und prüfen die Website in dem Moment, in dem Sie sie starten.
Bewertungen veröffentliche ich hier nicht: Sie gelten für den Tag, an dem sie gemessen wurden. Starten Sie den Test und sehen Sie sich die heutige an.
Schwachstelle melden
Haben Sie einen Fehler gefunden?
Schreiben Sie mir an die Adresse unten, am besten mit den Schritten, wie ich den Fehler nachstellen kann. Ich antworte persönlich.
Dieselbe Adresse steht in der Standarddatei /.well-known/security.txt