Skyfense sitzt im Anfrageweg von Live-Shops. Die Daten, mit denen wir arbeiten, zu schützen, ist deshalb Kern des Produkts. Diese Seite beschreibt die technischen und organisatorischen Maßnahmen, die es heute gibt, und sagt ehrlich, woran wir noch arbeiten.
1. Maßnahmen, die es heute gibt
2. Trennung von Workspaces und Händlern
Jeder Datensatz gehört zu einem Händler-Workspace (Mandant), und der Zugriff über Dashboard und API ist auf den eigenen Workspace des angemeldeten Nutzers beschränkt. Die Trennung gilt einheitlich für Besuchsdaten, Bestellungen, Geräte und Detailanalysen.
3. Zugriffskontrollen
Der Zugriff auf die Produktionsdatenbank ist auf Netzwerkebene durch eine Firewall mit Freigabeliste beschränkt, und administrativer Zugriff auf Server ist auf berechtigte Betreiber begrenzt. Geheimnisse für das Deployment liegen in einem verschlüsselten Tresor statt in Konfiguration im Klartext. Innerhalb eines Händler-Workspaces bietet Skyfense derzeit keine unterschiedlichen Nutzerrollen; alle eingeladenen Nutzer eines Workspaces haben denselben Zugriff. Rollenbasierte Zugriffskontrolle steht auf unserer Roadmap.
4. Protokollierung und Überwachung
Administrative Änderungen in einem Workspace werden in einem Audit-Log festgehalten (handelnder Nutzer, Zusammenfassung und IP der Anfrage), und die Dienste schreiben Betriebsprotokolle. Audit-Einträge sind so angelegt, dass sie keine Passwörter oder Zahlungsdaten enthalten. Eine zentrale Sicherheitsüberwachung mit Alarmen bauen wir gerade formal auf.
5. Aufbewahrung und Löschung
Besuche, Sitzungsereignisse, Geräte, Fingerprints und Bestellungen werden automatisch gelöscht, sobald die vom Händler eingestellte Aufbewahrungsdauer abgelaufen ist (30, 90, 180, 365 oder 730 Tage; Standard 365). Die Deinstallation eines Shops und Anfragen zur Löschung von Shop-Daten lösen die Löschung der Daten dieses Händlers aus, einschließlich der Kontonutzer und des gespeicherten Shopify-Zugriffstokens. Mehr dazu in unserer Datenschutzerklärung.
6. Umgang mit Schwachstellen und Vorfällen
Wir halten Abhängigkeiten aktuell und spielen sicherheitsrelevante Updates im Rahmen der laufenden Wartung ein. Unsere Prozesse für Schwachstellen und Vorfälle formalisieren wir gerade, einschließlich dokumentierter Einstufung nach Schwere und Fristen für die Benachrichtigung von Händlern. Betrifft ein Vorfall Händlerdaten, benachrichtigen wir die betroffenen Händler unverzüglich.
7. Woran wir noch arbeiten
Wir finden, veröffentlichte Sicherheitsaussagen müssen stimmen. Deshalb sagen wir klar, was es noch nicht gibt. Folgendes ist in Arbeit und noch nicht so umgesetzt, wie es an anderer Stelle beschrieben sein mag: Verschlüsselung gespeicherter Daten auf Speicherebene, verschlüsselte externe Backups mit getesteter Wiederherstellung, rollenbasierte Zugriffskontrolle in Workspaces und formale Prüfungen durch Dritte. Wir haben derzeit keine Zertifizierungen wie SOC 2 oder ISO 27001 und behaupten das auch nicht.
8. Eine Schwachstelle melden
Wenn du glaubst, eine Sicherheitslücke in Skyfense gefunden zu haben, melde sie bitte an hello@skyfense.com. Wir unterstützen Responsible Disclosure und arbeiten mit dir daran, berechtigte Meldungen zu untersuchen und zu beheben.