Sicherheit
LPIC.cc behandelt Sicherheit und Datenschutz vom ersten Tag an als Kern-Designprinzipien – nicht als nachträgliche Ergänzung. Im Folgenden findest du einen Überblick über die Maßnahmen, die wir kontinuierlich in Produktion betreiben.
Zentrale Sicherheitsmaßnahmen
HTTPS auf der gesamten Seite
Jede Verbindung wird auf HTTPS (TLS 1.2+) erzwungen, und langfristiges HSTS sorgt dafür, dass Browser jeden unverschlüsselten Fallback ablehnen. Der Datenverkehr ist Ende-zu-Ende verschlüsselt und kann von Angreifern auf dem Übertragungsweg weder gelesen noch manipuliert werden.
bcrypt-Passwort-Hashing
Von Nutzern gesetzte Freigabepasswörter werden als branchenüblicher bcrypt-Einweg-Hash gespeichert – selbst unsere Server können sie nicht zurückrechnen. Klartext-Passwörter existieren in keinem unserer Systeme.
Automatischer Ablauf
Hochgeladene Dateien werden nach dem letzten Abruf 30 Tage aufbewahrt. Danach wird der Freigabelink sofort ungültig und die Datei zur Löschung eingereiht – ohne manuelles Aufräumen, und niemand kann auf abgelaufene Dateien zugreifen.
Kurzlebige presigned Upload-URLs
Beim Upload stellt der Server eine kurzlebige presigned URL aus, sodass der Browser die Datei direkt in den Cloud-Objektspeicher schiebt. Die URL läuft schnell ab und lässt sich nicht wiederverwenden – damit werden unautorisierte Uploads unterbunden.
Strikte Content Security Policy
Die Standardrichtlinie blockiert jede externe Ressource und erlaubt nur die minimal notwendigen Quellen. Zusammen mit X-Frame-Options- und Referrer-Policy-Headern reduziert das die Angriffsfläche für XSS, Clickjacking und Referrer-Lecks.
Mehrstufiges Rate Limiting
Sensible Endpunkte – Login, Upload, Passwortprüfung – werden durch Rate Limiting geschützt, das bei Missbrauch sofort herunterkühlt. Brute-Force und Automatisierung werden blockiert, ohne den regulären Datenverkehr zu beeinträchtigen.
Reibungsloser Bot-Schutz per Turnstile
Kritische Formulare sind durch Cloudflare Turnstile geschützt, das Geräte- und Verhaltensmerkmale im Hintergrund auswertet, um Menschen von Bots zu unterscheiden – keine Bilderrätsel, keine Reibung für Nutzer.
Maskiertes IP-Logging
Vollständige IP-Adressen werden niemals dauerhaft gespeichert. Vor dem Schreiben in Analyse- oder Sicherheits-Logs werden IPs maskiert (z. B. 1.2.3.***); die rohen IPs existieren nur so lange im Speicher, wie es für die laufende Schutzentscheidung nötig ist, und werden anschließend verworfen. Damit bleibt der Schaden bei einem Log-Leak begrenzt.
Weitere Schutzmaßnahmen
| Maßnahme | Beschreibung |
|---|---|
| Parametrisierte Queries | Alle Datenbankabfragen verwenden parametrisierte Bindings und eliminieren damit die gesamte Angriffsklasse SQL Injection an der Wurzel. |
| Eingabevalidierung | API-Endpunkte erzwingen schema-basierte Validierung (required, min, max, email usw.). Ungültige Eingaben werden abgelehnt, bevor sie die Businesslogik erreichen. |
| CSRF-Schutz | Alle zustandsändernden Requests erfordern ein eigenständiges CSRF-Token, und Cookies tragen HttpOnly + Secure + SameSite=Strict, was Cross-Site-Forgery direkt an der Quelle blockiert. |
| Strikte CORS-Richtlinie | Nur die offizielle Origin darf die API aufrufen; unautorisierte Cross-Origin-Aufrufe werden abgelehnt. |
| Cloudflare-DDoS-Abwehr | Edge-Knoten erkennen und mitigieren auffälligen Datenverkehr automatisch, bevor er die Origin-Server erreicht. |
| Maskiertes Logging sensibler Felder | Das Logging-Framework maskiert IPs, Tokens und Passwörter standardmäßig – selbst wenn Logs jemals abfließen, gelangen die sensiblen Werte nicht mit nach draußen. |
Responsible Disclosure
Wenn du eine Sicherheitslücke in LPIC.cc entdeckst, melde sie bitte vertraulich per E-Mail an [email protected]. Wir versprechen:
- Bestätigung deines Reports innerhalb von 48 Stunden.
- Keine rechtlichen Schritte gegen gutgläubige Security-Forschende.
- Öffentliche Erwähnung auf dieser Seite nach dem Fix, sofern du einverstanden bist.
Um andere Nutzer nicht zu beeinträchtigen, verzichte bitte auf automatisierte Scans oder Lasttests gegen die Produktion.
Zuletzt aktualisiert: 21. April 2026