Sicherheit und Datenschutz

Hosting und Datenstandort

• Jedes Ereignis, jeder Visitor und jedes Konto wird in AWS eu-west-1 in Irland gespeichert, ebenso die Backups.
• Der Dienst läuft auf verwalteten AWS-Diensten (Lambda, DynamoDB, S3, CloudFront und SES für E-Mail) sowie auf ClickHouse Cloud, das eine durchsuchbare Kopie der Events und Audit-Logs auf AWS in Irland vorhält. Wir betreiben keine eigenen Server, die gepatcht werden müssen.
• Anfragen werden an den CloudFront-Edge-Standort gesendet, der dem Besucher am nächsten liegt; dieser kann außerhalb der EU liegen, und die Weiterleitung nach Irland erfolgt verschlüsselt.
• IP-Details stammen von ipapi.is in Deutschland, das nur die IP-Adresse erhält.

Verschlüsselung

• Der gesamte Traffic zu Agent, API und Dashboard nutzt TLS.
• Die Datenbanken sind im Ruhezustand von AWS und ClickHouse Cloud verschlüsselt.
• Versiegelte Ergebnisse verschlüsseln ein Ereignis mit dem Schlüssel deines Projekts (AES-256-GCM), sodass der Browser es nicht lesen oder ändern kann. Wir erzeugen und speichern diesen Schlüssel, da identify damit versiegelt, und zeigen ihn dir einmal an: Nur Inhaber des Projektschlüssels können ein versiegeltes Ergebnis öffnen.

Schlüssel und Geheimnisse

• Secret Keys werden als SHA-256-Hash gespeichert und nur einmal bei der Erstellung vollständig angezeigt.
• Schlüssel enthalten ein Präfix und eine Prüfsumme, damit Leak-Scanner sie finden und Tippfehler ohne Abfrage abgelehnt werden.
• Webhooks werden mit einem Zeitstempel signiert, damit dein Server gefälschte und wiederholte Aufrufe ablehnen kann. Wir speichern das Webhook-Secret vollständig, da wir damit signieren.

Von Haus aus weniger Daten

• Der Agent liest niemals WebRTC-Netzwerkadressen, und Query-Strings und Fragmente verlassen den Browser nie.
• Flags und Scores gelangen nie zurück in den Browser. Der Zero-Trust-Modus verbirgt auch die Visitor ID vor ihm, und der Agent speichert dann keine.
• Seiten-URLs und Referrer werden als Origin und Pfad, nur als Origin oder gar nicht gespeichert.

Speicherung und Löschung

• Jedes Projekt speichert Ereignisse 30 Tage, 1, 3 oder 5 Jahre oder bis sie gelöscht werden, was die Standardeinstellung ist; abgelaufene Ereignisse werden automatisch entfernt, meist innerhalb von ein bis zwei Tagen.
• Ein API-Aufruf löscht alle Daten zu einer externen ID, ein anderer alle Daten zu einem Gerät, inklusive der Verknüpfungen zu Browsern und IPs.
• Die Löschung erreicht nicht den 90-Tage-IP-Lookup-Cache, Webhook-Zustellungen (30 Tage gespeichert), Protokolle fehlgeschlagener Jobs und Fehler (bis wir sie entfernen) oder Backups (35 Tage).

Zugriff auf das Dashboard

• Passwörter werden mit scrypt gespeichert, und jede Änderung eines Kontos beendet dessen Sitzungen.
• Unsere eigenen Anmeldungen werden vom Dienst selbst geprüft: Ein Bot oder eine Identifizierung aus einem anderen Browser kann sich nicht anmelden.
• Ein Konto sieht nur die Projekte, die ihm zugewiesen wurden. Es gibt noch keine Rollen: Jedes Teammitglied kann Schlüssel erstellen, Einstellungen ändern, Support-Zugriff erlauben und das Projekt löschen. Zwei-Faktor-Authentifizierung wird noch nicht angeboten.

Support-Zugriff

• Unser Support-Team kann Ereignisse, Nutzung und Schlüssel eines Projekts nur lesen, solange das Projekt es erlaubt, jeweils für 12 Stunden.
• Teammitglieder erteilen ihn in den Projekteinstellungen oder durch Annahme einer Anfrage, können ihn jederzeit beenden und sehen einen Hinweis, während der Support zuschaut.
• Jede Seite, die der Support öffnet, wird im Audit-Protokoll der Organisation erfasst.

Compliance