Sicherheit und Daten
Ein Sicherheitsdienst muss sich an dem Maßstab messen lassen, den er selbst anlegt. Diese Seite sagt in klaren Worten, was wir mit Ihren Daten tun und wie wir unseren eigenen Dienst schützen.
Was ein Audit mit Ihren Systemen macht
Nichts, was Ihnen auffallen würde. Jede Prüfung liest öffentliche DNS-Einträge, öffentliche Zertifikatslogs, öffentliche Datensätze (InternetDB von Shodan, die Liste ausgenutzter Schwachstellen der CISA, EPSS, Spamhaus) oder die Antwort, die Ihre Web- und Mailserver ohnehin jedem Besucher geben: eine HTTPS-Anfrage an die Startseite und eine Handvoll bekannter Dateien, ein TLS-Handshake, eine SMTP-Begrüßung an jeden Mailserver. Wir beachten die Konventionen von robots.txt, wo sie gelten, geben uns im Header User-Agent zu erkennen und senden nie mehr als einige Anfragen je Host und Audit.
Wir scannen keine Ports, nutzen keine Schwachstellen aus, raten keine Zugangsdaten, senden keine Formulare ab und durchsuchen Ihre Website nicht. Die Suche nach sensiblen Dateien (Backups, Konfigurationsdateien, offene Repositorys) gibt es als Option, standardmäßig ausgeschaltet, nur für Domains mit nachgewiesener Inhaberschaft; sie speichert nie den Inhalt des Gefundenen, nur die Tatsache, dass die Datei erreichbar ist.
Inhaberschaftsnachweis
Sie können sich für jede Domain eine Vorschau des Berichts ansehen, denn alles darin ist öffentlich. Benachrichtigungen, Verlauf, Zeitplanung und die Überwachung von Lookalike-Domains werden aber erst freigeschaltet, wenn Sie der DNS-Zone der Domain einen TXT-Eintrag hinzufügen, den wir Ihnen nennen. Wir prüfen ihn vor jedem Audit. Verschwindet er, stoppen die Audits, und wir sagen es Ihnen. So lässt sich Perimetry Cloud nicht nutzen, um fremde Domains zu überwachen.
Was wir speichern
- Ihr Konto: E-Mail-Adresse, Passwort-Hash (Argon2id), das Geheimnis des zweiten Faktors, falls aktiviert, Land und USt-IdNr. für die Rechnungsstellung.
- Ihre Domains und den Stand ihres Inhaberschaftsnachweises.
- Audit-Ergebnisse: Befunde, Punktzahlen und den Stand, aus dem Änderungen berechnet werden (Hostnamen, DNS-Einträge, Fingerabdrücke von Zertifikaten, offene Ports, Liste der Lookalike-Domains). Wir behalten keine Kopie Ihrer Seiten; die Webprüfungen behalten nur die Header und einige herausgelesene Fakten, etwa die Namen erkannter Bibliotheken.
- Einstellungen der Benachrichtigungen: E-Mail-Adressen und Webhook-URLs, verschlüsselt gespeichert.
Der Verlauf wird für die Dauer Ihres Tarifs (12 oder 24 Monate) und 90 Tage nach der Kündigung aufbewahrt und dann gelöscht. Sie können jederzeit alles als JSON exportieren und Ihr Konto selbst löschen.
Wo die Daten liegen
Auf Servern in den Niederlanden, in der Europäischen Union, mit verschlüsselten Datenträgern und verschlüsselten täglichen Backups, die in der EU aufbewahrt werden. Vor dem Dienst steht Cloudflare; der Ursprungsserver nimmt keinen direkten Verkehr an. Zahlungsdaten erreichen unsere Server nie: Der Zahlungsanbieter verarbeitet die Karte und sendet uns ein Token.
Wie sich der Dienst selbst schützt
- Passwörter mit Argon2id gehasht; optional zeitbasierte Einmalcodes als zweiter Faktor; Passkeys (WebAuthn, immer mit der Gerätesperre); Anmeldung mit Google, die nur ein Konto öffnet, das seine Inhaberin oder sein Inhaber mit diesem Google-Konto verknüpft hat, nie eines, das bloß dieselbe Adresse hat; Anmeldeversuche begrenzt und nach wiederholten Fehlschlägen gesperrt; das Hinzufügen oder Entfernen einer Anmeldemethode verlangt eine Bestätigung Ihrer Identität, und die letzte lässt sich nicht entfernen; Sitzungen an den Browser gebunden und nach Inaktivität beendet.
- Der gesamte Verkehr über HTTPS mit HSTS-Preload; strenge Content-Security-Policy; dieselben Sicherheits-Header, nach denen wir Sie bewerten.
- Der Audit-Worker läuft in isolierten Containern ohne Zugriff auf die Datenbank außer über eine Warteschlange; er ist aus dem Internet nicht erreichbar.
- Ausgehende Verbindungen des Workers lehnen private, Loopback- und Link-Local-Adressen beim Verbindungsaufbau ab, sodass ein DNS-Eintrag uns nicht dazu bringen kann, unser eigenes Netz abzufragen.
- Abhängigkeiten werden automatisch aktualisiert und bei jedem Build geprüft; der Open-Source-Scanner führt dieselben Prüfungen gegen sich selbst aus.
Penetrationstests
Alle sechs Monate wird Perimetry Cloud einem Penetrationstest unterzogen, der die Website, die Anwendung, ihre API und die Infrastruktur dahinter abdeckt. Anders als unsere eigenen Audits, die passiv bleiben, versuchen diese Tests aktiv einzudringen, wie es ein Angreifer täte. Die gefundenen Probleme werden nach Schweregrad behoben. Sie kommen zu den laufenden Maßnahmen oben und zu den Meldungen von Sicherheitsforschenden hinzu.
Eine Schwachstelle melden
Wenn Sie ein Sicherheitsproblem in Perimetry Cloud oder im Open-Source-Scanner finden, schreiben Sie an security@perimetry.cloud. Wir antworten innerhalb von zwei Werktagen, halten Sie auf dem Laufenden und nennen Sie auf Wunsch. Bitte testen Sie nicht gegen Domains oder Konten anderer Kunden; ein kostenloses Konto und Ihre eigene Domain reichen, um die meisten Probleme nachzustellen. Unsere security.txt enthält dieselben Angaben.
Unterauftragsverarbeiter
Hosting in den Niederlanden; Cloudflare für DNS, TLS-Terminierung, E-Mail-Versand und die Web Application Firewall; ein Zahlungsanbieter für die Kartenzahlung. Die Liste wird auf dieser Seite aktuell gehalten.