Sicherheitsmaßnahmen

Ihre Social-Media-Konten sind wertvoll, deshalb behandeln wir ihre Sicherheit als wichtigsten Teil von PilotPost. Diese Seite beschreibt die praktischen Maßnahmen, die wir derzeit einsetzen.

1. Verschlüsselung

• Alle Seiten und API-Aufrufe laufen über HTTPS (TLS); die Zertifikate werden automatisch erneuert.
• Zugriffstoken für soziale Netzwerke und andere Zugangsdaten (etwa Bot-Token und App-Passwörter) werden im Ruhezustand mit AES-256-GCM verschlüsselt.
• Passwörter werden nie in lesbarer Form gespeichert: Wir speichern nur einen gesalzenen bcrypt-Hash.

2. Ihr Konto

• Die Zwei-Faktor-Authentifizierung mit einer Authenticator-App ist für jedes Konto verfügbar und für Administratoren Pflicht.
• Nach wiederholt falschen Codes wird die Zwei-Faktor-Anmeldung vorübergehend gesperrt.
• Links zum Zurücksetzen des Passworts funktionieren einmal und laufen nach 60 Minuten ab.
• Mit „Weiter mit Google“ können Sie sich ohne PilotPost-Passwort anmelden.
• Bei den meisten Netzwerken melden Sie sich auf der Seite des Netzwerks selbst an, sodass wir Ihre Social-Media-Passwörter nie sehen.

3. Infrastruktur

• Die Server werden in der EU von Hetzner gehostet, einem nach ISO/IEC 27001 zertifizierten Anbieter.
• Der Serverzugang erfolgt ausschließlich über SSH-Schlüssel (keine Passwörter); wiederholte Anmeldeversuche werden automatisch blockiert.
• Die internen Dienste der Anwendung sind nicht aus dem Internet erreichbar, sondern nur der gesicherte Web-Zugang.
• Die Datenbank wird täglich automatisch gesichert.

4. Schutzmaßnahmen in der Anwendung

• Jeder Kunde kann nur seine eigenen Daten und verbundenen Konten sehen und nutzen.
• Das Verbinden eines Netzwerks erfolgt über signierte, ablaufende Anfragen, sodass eine Verbindung nicht gekapert werden kann.
• Für die kostenlosen Tools gelten tägliche Nutzungsgrenzen, um Missbrauch zu verhindern.
• Analyse- und Werbeskripte werden erst geladen, nachdem Sie Cookies akzeptiert haben.

5. Ihr Beitrag

• Verwenden Sie ein eindeutiges Passwort und aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Entfernen Sie nicht mehr genutzte verbundene Konten auf der Seite „Konten“.
• Geben Sie Team-Logins nur an Personen weiter, die sie benötigen.

6. Sicherheitsproblem melden

Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, schreiben Sie bitte mit den Einzelheiten an support@pilotpost.social und geben Sie uns angemessen Zeit zur Behebung, bevor Sie sie öffentlich machen. Bitte greifen Sie beim Testen nicht auf Daten anderer Personen zu und stören Sie den Dienst nicht. Für verantwortungsvolle Meldungen sind wir dankbar.