Wie die Plattform arbeitet

Deine Zugangsdaten

Um deine Server anzuzeigen, braucht die Plattform Zugang zu den Schnittstellen deiner Anbieter - API-Token, bei Proxmox ein Passwort. Diese Angaben liegen verschlüsselt in der Datenbank, nicht im Klartext.

Dafür gibt es je Konto einen eigenen Schlüssel, und der liegt selbst noch einmal verpackt daneben - einmal mit einem Schlüssel, der nicht in der Datenbank steht, und einmal mit einem, der aus deinem Passwort abgeleitet wird. Ein Abzug der Datenbank allein gibt damit nichts her.

Was das nicht leistet, gehört dazu: wer Zugriff auf den laufenden Server selbst hat, kommt auch an die Daten. Das ist keine Schwäche der Umsetzung, sondern die Folge davon, dass die Plattform deine Server im Hintergrund abfragen können muss - auch dann, wenn du gerade nicht angemeldet bist.

Dein Konto

• Dein Passwort wird nie gespeichert, nur seine Prüfsumme - mit einem absichtlich langsamen Verfahren berechnet, damit sich ein gestohlener Abzug nicht im Sekundentakt durchprobieren lässt.
• Zwei-Faktor-Anmeldung mit Einmalcodes, dazu Wiederherstellungs-Codes, die du jederzeit neu erzeugen kannst.
• Nach mehreren Fehlversuchen ist die Anmeldung für dieses Konto eine Weile gesperrt.
• Anmeldung wahlweise über Discord, GitHub oder Google - ohne weiteres Passwort.
• Kritische Aktionen wie Neuinstallation oder das Zurückspielen einer Sicherung werden immer erst zurückgefragt, mit dem Hinweis, was dabei überschrieben wird.

Betrieb

Die Plattform läuft in Europa. Die Verbindung ist durchgehend verschlüsselt; die Agenten auf deinen Servern melden ausschließlich über verschlüsselte Verbindungen und weisen sich mit einem eigenen, signierten Token aus - nicht mit deinem Konto.

Jede Änderung steht im Changelog, mit Datum und Fassungsnummer.

Angebundene Anbieter

Über diese Anbieter lassen sich Server einbinden. Für jeden gilt: es wird nur gelesen und gesteuert, was deren Schnittstelle hergibt - und nur mit den Zugangsdaten, die du selbst hinterlegt hast.

• 24fire
• Datalix
• Hetzner Cloud
• Nexo.systems
• Proxmox VE (eigene Installation)
• Skrime

Dazu Server ohne Anbieter-Anbindung: der eigene Agent meldet Auslastung und Netzverkehr von jedem Linux- oder Windows-System.

Eine Lücke gefunden?

Dann melde sie bitte, bevor du sie ausprobierst - über ein Support-Ticket oder im Discord. Beschreibe, was du gefunden hast und wie es sich nachstellen lässt. Meldungen werden ernst genommen und beantwortet.

Warum hier keine Technikliste steht

An dieser Stelle standen früher die eingesetzten Bausteine mit Namen - Laufzeitumgebung, Framework, Datenbank. Das ist für Neugierige interessant und für alle anderen bequem: wer weiß, welche Bausteine laufen, braucht nur noch die passende Schwachstellenliste.

Das ist eine Hürde, kein Schutzwall, und so ist es auch gemeint. Sicher wird eine Anwendung dadurch, dass ihre Bausteine gepflegt werden, nicht dadurch, dass niemand sie kennt. Es gibt nur keinen Grund, die Arbeit auch noch abzunehmen.