Sicherheit bei Espobase

• Espobase ist nicht SOC-2-zertifiziert und nicht HIPAA-konform. Wir unterzeichnen keine Business Associate Agreements (BAAs).
• Speichere keine Gesundheitsdaten, die unter HIPAA fallen, keine Zahlungskartennummern und keine anderen Daten, die einen zertifizierten Anbieter erfordern: Unsere Bedingungen erlauben das nicht.

• Der gesamte Datenverkehr zur Website, zum Dashboard und zu den APIs läuft über HTTPS.
• Backups werden verschlüsselt (AES-256-GCM), bevor sie unseren Server verlassen.
• Datenbankpasswörter, Signaturschlüssel und andere Geheimnisse werden verschlüsselt gespeichert (AES-256-GCM).

• Passwörter werden nur als Einweg-Hashes (Argon2id) gespeichert, für dein Espobase-Konto ebenso wie für die Nutzer deiner App.
• API-Schlüssel und Zugriffstoken werden nur als Hashes mit Schlüssel gespeichert und nur einmal angezeigt, wenn du sie erstellst.
• Geheime API-Schlüssel werden abgelehnt, wenn sie aus einem Webbrowser kommen, damit sie nicht versehentlich über ein Frontend nach außen gelangen.

• Row Level Security ist für jede neue Tabelle standardmäßig aktiv: Mit einem öffentlichen Schlüssel lässt sich nichts lesen, bis du eine Regel hinzufügst.
• Jedes Projekt hat eine eigene Datenbank, getrennt von anderen Projekten.
• Sicherheitsregeln werden dir vor dem Anwenden als SQL zur Prüfung angezeigt, und Änderungen, die die KI vorschlägt, werden nie ohne deine Zustimmung angewendet.

• Die Datenbank jedes Projekts wird täglich gesichert. Ein Backup zählt erst, wenn es erneut heruntergeladen, entschlüsselt und geprüft wurde.
• Backups werden 1 Tag (Free), 7 Tage (Pro) oder 14 Tage (Group) aufbewahrt und sind 7 Tage lang gegen Löschen gesperrt.

• E-Mail-Bestätigung, Passwort-Zurücksetzung und Anmeldung mit GitHub, Google oder Apple.
• Rollen für Mitglieder einer Organisation (Inhaber, Administrator, Entwickler, Betrachter) und Zugriff nur auf ausgewählte Projekte.
• Single Sign-on (SSO) und ein Audit-Log sicherheitsrelevanter Aktionen im Group-Tarif.
• Persönliche Zugriffstoken sind auf die Berechtigungen beschränkt, die du auswählst, und laufen immer ab.

• Website, Dashboard und APIs werden alle 5 Minuten von außen geprüft: zur Live-Statusseite.
• Aus dem Internet ist nur der Web-Zugang erreichbar: Datenbanken und interne Dienste sind nie offen erreichbar.
• Wir werden automatisch benachrichtigt, wenn ein Dienst ausfällt.

Die Projektdatenbanken und APIs laufen in den USA (Boston). Hochgeladene Dateien und Backups werden bei Cloudflare R2 in Nordamerika gespeichert. Details findest du in unserer Datenschutzerklärung.

Wenn du glaubst, eine Schwachstelle gefunden zu haben, schreib an support@espobase.com mit den Details und den Schritten, um sie nachzuvollziehen. Greif beim Testen bitte nicht auf Daten anderer zu und störe den Dienst nicht. Wir antworten dir und halten dich auf dem Laufenden, bis das Problem behoben ist.