Sicherheit

Jedes Konto beginnt mit einer bestätigten E-Mail-Adresse: Die Registrierung sendet einen Aktivierungslink, und nichts funktioniert, bevor er geklickt wurde. Passwörter werden nie lesbar gespeichert, nur als gesalzene Einweg-Hashes. Die Anmeldung mit Google ist optional und verknüpft sich über die E-Mail-Adresse mit demselben Konto.

Zwei-Faktor-Authentifizierung gibt es in drei unabhängigen Formen: Authenticator-App, Hardware-Sicherheitsschlüssel und Passkey. Sie lassen sich zusammen aktivieren, und der Verlust einer Form sperrt die anderen nicht. Administrativer Zugang auf unserer Seite verlangt immer einen zweiten Faktor.

Einstellungen > Sitzungen zeigt jedes angemeldete Gerät mit seiner letzten Aktivität; jede Sitzung kann von jedem anderen Gerät aus widerrufen werden. Anmeldung, Passwort-Reset und Registrierung sind pro Adresse ratenbegrenzt und gegen automatisierten Missbrauch geschützt.

Anwendung und Datenbank laufen in der Europäischen Union (Warschau, Polen); Transaktions- und Alarm-E-Mails verlassen uns über ein Rechenzentrum in der EU; der Verkehr endet bei Cloudflare ausschließlich über TLS, und die .app-Domain ist HSTS-preloaded, Browser versuchen also nie einfaches HTTP.

Geheimnisse der Benachrichtigungskanäle (Webhook-URLs, Bot-Tokens, Routing-Keys) sind im Ruhezustand verschlüsselt und werden von der API nie vollständig zurückgegeben: Sie werden gekürzt und sind nur für Organisationsinhaber sichtbar. Monitoring-Daten gehören einer Organisation; jede API-Route ist klassifiziert, und die Grenze zwischen Organisationen ist durch automatisierte Tests abgedeckt.

Sie können alles, was der Dienst über Ihre Organisation speichert, unter Einstellungen > Konto als ZIP exportieren, eine Organisation verlassen oder Ihr Konto selbst löschen. Die Audit-Historie überlebt eine Löschung in anonymisierter Form, wie es die DSGVO zur Rechenschaftspflicht erlaubt.

Jede Antwort trägt eine Content-Security-Richtlinie und die üblichen Browserschutzmechanismen gegen Einbettung in Frames, Cross-Origin-Lecks und Referrer-Preisgabe. Anfragen, die der Dienst in Ihrem Namen stellt (Webhooks, die Prüfungen selbst), passieren einen Schutz, der private und interne Adressen ablehnt. Jeder öffentliche Endpunkt hat ein Ratenlimit pro Adresse; feindliche Eingaben werden abgewiesen, bevor sie die Anwendung erreichen.

Ein Sicherheitstestprogramm läuft auf Anforderung: Jede API-Route steht in einer Matrix und wird anonym, als Mitglied, als Inhaber und als Mitarbeiter durchlaufen; feindliche Nutzlasten treffen jede Schreibroute; die Suite ist auf die OWASP Top 10 und die OWASP API Top 10 abgebildet und wird durch einen automatischen Scanner und einen Browser-Smoke-Test ergänzt. Befunde bekommen eine Nummer, einen Schweregrad und eine Entscheidung, nie eine stille Korrektur.

Abhängigkeiten und Laufzeitumgebung werden mit einer regelmäßigen Patch-Routine aktuell gehalten, und jede Runde wird im Befundregister festgehalten.

Prüfungen laufen von unserem Server in Polen und werden von unabhängigen Monitoring-Regionen in Europa, Nordamerika, Asien und Ozeanien bestätigt. Jede Region betreibt einen kleinen Agenten, dessen Releases kryptografisch signiert sind, sodass eine Region ein unsigniertes Update ablehnt; jede Region authentifiziert sich beim Hub mit einem eigenen, an ihre Adresse gebundenen Zugangsnachweis.

Eine Region erfährt nur die URL, die sie prüfen soll, und meldet das Ergebnis; sie hält keine Kontodaten, keine Zugangsdaten und keine Benachrichtigungsgeheimnisse.

Ein einzelner Betreiber führt den Dienst, was kurze Wege bedeutet: Produktionsänderungen gehen als geprüfte, getestete Commits hinaus, Geheimnisse liegen außerhalb des Codes, und Logs werden rotiert und nur kurz aufbewahrt.

Unseren eigenen Status veröffentlichen wir unter /status und erklären jede Verfügbarkeitszahl auf der Methodikseite: Was wir für Sie zu messen versprechen, messen wir auch für uns selbst.

Wenn Sie glauben, ein Sicherheitsproblem in Web Watch Tower gefunden zu haben, sagen Sie es bitte uns, bevor Sie es jemand anderem sagen. Schreiben Sie an die Adresse in unserer security.txt oder nutzen Sie das Kontaktformular und beschreiben Sie, was Sie gefunden haben, wo und wie es sich reproduzieren lässt; ein Proof of Concept hilft, ein funktionierender Exploit ist nicht nötig.

Wir lesen jede Meldung, bestätigen den Eingang, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch nach der Lösung. Wir bitten um angemessene Zeit zur Behebung vor jeder Veröffentlichung. Ein bezahltes Bounty-Programm gibt es nicht.

Regeln für Forschung in gutem Glauben: keine Denial-of-Service- oder Lasttests, kein Zugriff auf fremde Daten über das Minimum hinaus, das zum Nachweis nötig ist, kein Social Engineering gegen unsere Nutzer oder Mitarbeiter und keine Änderungen an fremden Monitoren. Forschung, die diese Regeln einhält, wird nicht mit rechtlichen Schritten beantwortet.