Sicherheit bei ePulz.io

Infrastruktur ausschließlich in der EU

Die gesamte Plattform läuft auf eigener Infrastruktur in der Europäischen Union (Slowakei). Monitoring-Daten verlassen niemals den EWR und werden von keiner US-Public-Cloud verarbeitet. Die Sonden in mehreren Regionen sind über isolierte WireGuard-Tunnel verbunden.

Verschlüsselung

Der gesamte Datenverkehr von und zu ePulz.io ist mit TLS 1.3 verschlüsselt; HSTS ist aktiviert und die Domain wurde für die Preload-Liste der Browser angemeldet. Passwörter werden als bcrypt-Hashes gespeichert und niemals protokolliert.

Backups und Wiederherstellung

Die Datenbank wird täglich mit kontinuierlicher WAL-Archivierung gesichert, und eine Kopie wird jeden Tag an einen separaten physischen Standort repliziert. Wiederherstellungen werden regelmäßig getestet - ein Backup, das nie wiederhergestellt wurde, ist kein Backup.

Kontoschutz

Zwei-Faktor-Authentifizierung (TOTP) mit Backup-Codes, strikte Rate-Limits bei Login und Passwort-Reset (pro IP und pro Konto), sichere Session-Cookies und eine Content-Security-Policy mit Nonces in der gesamten Anwendung.

API- und Agent-Tokens

Alle Tokens tragen das Präfix epulzio_ (in Leak-Scannern leicht zu erkennen), haben eng begrenzte Berechtigungen - ein Agent-Token kann nur seine eigene Checkliste abrufen und Ergebnisse übermitteln - und können jederzeit im Dashboard widerrufen werden.

LAN-Agent

Der Agent ist eine einzelne Python-Datei mit ca. 600 Zeilen (nur Standardbibliothek), die Sie vor dem Start lesen können. Er kommuniziert ausschließlich ausgehend über HTTPS und läuft als unprivilegierter Benutzer in einer systemd-Sandbox. So funktioniert der LAN-Agent

Wer überwacht die Wächter

Die Plattform überwacht sich selbst von mehreren Nodes aus, und eine unabhängige Sonde an einem separaten Standort prüft ePulz.io jede Minute von außerhalb unseres Netzwerks. Der aktuelle Status ist öffentlich einsehbar unter status.epulz.io.

Responsible Disclosure

Haben Sie eine Schwachstelle gefunden? Schreiben Sie an [email protected] - wir antworten schnell, beheben noch schneller und nennen Forscher, die verantwortungsvoll melden, in unserer Danksagung. Gegen Sicherheitsforschung in gutem Glauben gehen wir nicht rechtlich vor. Details: security.txt.

Compliance

ePulz.io wird von einem EU-Unternehmen gemäß DSGVO betrieben. Eine SOC-2- oder ISO-27001-Zertifizierung besitzen wir derzeit nicht - wir sind ein kleines europäisches Unternehmen und sagen das offen; Zertifizierungen sind mit dem Wachstum geplant. Zugehörige Dokumente: Datenschutz (DSGVO) · Unterauftragsverarbeiter · DPA.