Sicherheit
Wir hosten Friendship Tracker in Deutschland unter deutschem Recht. Auf dieser Seite die Kurzfassung, technische Details in den Docs.
Anwendungsserver und Datenbank laufen auf eigenen Maschinen, die wir selbst betreiben, physisch in Deutschland. Kein AWS, kein GCP, kein US-Sub-Auftragsverarbeiter im Anfragepfad.
TLS 1.3 auf jedem öffentlichen Endpunkt, Zertifikate werden über ACME automatisch erneuert. Datenbank-Volumes sind ruhend verschlüsselt. Backups werden vor dem Verlassen des Primärsystems verschlüsselt. Service-zu-Service-Traffic bleibt in einem privaten Netz, das aus dem Internet nicht erreichbar ist.
Die Anwendung trennt deine Daten direkt auf Datenbankebene: jede Abfrage ist auf deinen Arbeitsbereich beschränkt. Operator-Zugriff (wir beide) erfordert SSH-Schlüssel plus 2FA auf dem Bastion-Host. Admin-Aktionen werden in einem nur-anhängbaren Audit-Log festgehalten, das wir nachträglich nicht ändern können. Produktiv-Secrets werden rotiert, wenn jemand geht, und mindestens einmal jährlich.
Datenbank-Snapshots werden täglich erstellt, 30 Tage aufbewahrt und an einem anderen Standort als das Primärsystem gespeichert. Wir testen den Restore vierteljährlich. Deine Kontodaten sind bis zum jüngsten Snapshot vor einem Vorfall wiederherstellbar.
Passwörter werden mit argon2id gehasht und nie in einer lesbaren Form gespeichert. Magic-Link-Anmeldungen sind einmalig nutzbar, laufen nach 30 Minuten ab und sind an den anfragenden Browser gebunden. Sitzungen lassen sich von jedem Gerät aus in den Kontoeinstellungen widerrufen.
Schreib direkt einer von uns beiden (Adressen im Impressum). Wir bestätigen den Eingang innerhalb eines Werktags. Gegen gutgläubige Sicherheitsforscher gehen wir nicht vor. Bitte räume uns eine angemessene Frist vor einer Veröffentlichung ein.
Die vollständige technische Oberfläche (Auth-Flows, Field-Schema-Ebene, Audit-Log-Format, WebSocket-Protokoll, Rate-Limits) steht in den Docs. Sie sind für Engineers und Integratoren geschrieben; diese Seite ist die klartext-Zusammenfassung.