Die aktuelle Ptichi-Website ist eine öffentliche Informations- und Übungsseite. Es gibt keine Nutzerkonten, keinen Checkout, keinen Sprach-Upload und keinen Mikrofonzugriff. Das verkleinert die Angriffsfläche; es macht die Website nicht automatisch frei von Sicherheitsfehlern.
Produkt
Sicherheitsgrenze der aktuellen Ptichi-Website
Was die aktuelle Ptichi-Website bereitstellt, welche Daten sie nicht verarbeitet und wie Sicherheitsprobleme ohne erfundenen privaten Meldeweg eingeordnet werden.
Aktuelle öffentliche Oberfläche
Die Website liefert öffentliche Seiten, statische Assets, öffentliche JSON-/Datenressourcen und wenige browserseitige Funktionen wie Analytics-Einwilligung und textbasierte Übungshilfen. Die Datenschutzgrenze ist separat auf der Datenschutzseite beschrieben.
Passwörter, vertrauliche Kundenunterlagen, private Aufnahmen oder andere Geheimnisse gehören nicht in Ptichi-Seiten. Die Website ist kein geschützter Dokumentenaustausch.
Was als Sicherheitsproblem zählt
Beispiele sind:
- ein Skript oder eine Abhängigkeit wird von einer unerwarteten Quelle geladen;
- eine Seite legt Informationen offen, die nicht öffentlich sein sollten;
- eine Injection oder ein Browser-Verhalten kann beeinflussen, was andere Leser sehen oder tun;
- eine Regression bei Berechtigungen oder Policies lässt die Website Fähigkeiten anfordern, die sie nicht benötigt;
- ein Deployment- oder Konfigurationsfehler verändert die Sicherheitsgrenze wesentlich.
Ein Tippfehler, defekter Link oder sachlicher Fehler gehört normalerweise zu Korrekturen, nicht zu Security.
Grenze für Schwachstellenmeldungen
Ptichi veröffentlicht derzeit kein privates Postfach für Schwachstellenmeldungen und keinen verschlüsselten Übermittlungskanal. Die Kontaktseite ist die maßgebliche Aussage zur aktuellen Kontaktmöglichkeit.
Sensible Exploit-Details oder fremde private Daten sollten nicht öffentlich gemacht werden, nur weil noch kein privater Kanal existiert. Ein fehlender Meldeweg ist eine dokumentierte Einschränkung – keine Erlaubnis, Informationen anderer offenzulegen.
Wenn später ein privater Security-Kanal hinzukommt, sollte er hier veröffentlicht werden, bevor das Agent-Ready Web Profile ihn als stärkere Meldefunktion ausweist.
Metadaten sind kein Sicherheitszertifikat
Eine Security-Seite, HTTPS, ein Policy-Header oder ein grüner automatischer Check sind keine Sicherheitszertifizierung. Repository-Tests können bekannte Regressionen erkennen; sie beweisen nicht die Abwesenheit von Schwachstellen im bereitgestellten Dienst oder bei seinen Anbietern.
Geprüft: