Sicherheit

Die Finanzen von Kurzzeitvermietungen sind sensibel. So halten wir deine Daten sicher.

In der Übertragung und im Ruhezustand

Alle Verbindungen verwenden TLS 1.2+. Datenbankspeicher und Backups sind im Ruhezustand mit verwalteten Schlüsseln des Anbieters verschlüsselt. Sitzungs-Cookies verwenden HTTP-only- und Secure-Flags.

Authentifizierung

Passwörter werden mit bcrypt gehasht. Magic-Link-E-Mail-Anmeldung wird unterstützt. Passkeys stehen auf der Roadmap. Sitzungs-Tokens werden automatisch aktualisiert und beim Abmelden widerrufen.

Autorisierung

Zugriffskontrollen werden auf Datenbankebene erzwungen: Eine Abfrage nach Daten eines anderen Nutzers gibt null Zeilen zurück, selbst wenn die Anwendungsschicht einen Bug hat. Admin-Aktionen erfordern ein app_role = 'admin' Profil und werden protokolliert.

Investor-Freigabeseiten

Jeder Freigabelink ist ein 22-Zeichen-Zufallstoken. Tokens sind der Authentifizierungsfaktor, wer die URL hat, kann den Bericht lesen. Du kannst ein Token widerrufen (die Seite zeigt einen freundlichen "nicht mehr verfügbar"-Hinweis) oder ein Passwort verlangen.

Backups und Wiederherstellung

Point-in-Time-Recovery ist für die letzten 7 Tage verfügbar. Ein vollständiger täglicher Snapshot wird 30 Tage aufbewahrt. Wir testen die Wiederherstellungsverfahren vierteljährlich.

Schwachstellenmeldung

Melde Sicherheitsprobleme an [email protected]. Wir bestätigen innerhalb von 48 Stunden und gehen nicht gegen gutgläubige Forscher vor.