11 lines
803 B
Markdown
11 lines
803 B
Markdown
# Security
|
|
|
|
- Secrets bleiben in `.env` oder lokalen Secret Stores und werden nie committed oder geloggt.
|
|
- Gitea-Tokens werden ausschließlich im Backend verwendet; Bot-Identitäten und Git-Zugriff sind getrennt.
|
|
- Session-Cookies sind HttpOnly; Logout löscht Session- und Push-Gerätezuordnungen.
|
|
- Bugreport-Kontext ist eine enge Allowlist; Query-Parameter, Cookies, Authorization-Header und FCM-Tokens werden ausgeschlossen.
|
|
- Uploads werden serverseitig geprüft, verarbeitet und über Berechtigungen geschützt.
|
|
- Benutzer-, Freundes-, Blockierungs- und Sichtbarkeitsregeln gelten auch bei Konzertdaten.
|
|
- Firebase-Konfigurationsdateien, private Schlüssel, Dumps und lokale Uploads gehören nicht in Git.
|
|
- Produktionsdaten und Produktions-Secrets werden in lokaler Entwicklung nicht verwendet.
|