Sicherheitsbericht
Dieser öffentliche Bericht beschreibt die wichtigsten technischen und organisatorischen Schutzmechanismen von HelvetiKey. Er enthält bewusst keine internen Schlüssel, Zugangsdaten, Serverpfade oder vertraulichen Betriebswerte.
🔐 Verschlüsselung
Neue sensible Inhalte werden mit libsodium Secretbox verschlüsselt. Bestehende Legacy-Daten können weiterhin kontrolliert gelesen werden. Schlüsselmaterial wird ausserhalb der öffentlichen Oberfläche gehalten.
🛡 Anmeldung & Sitzungen
HelvetiKey unterstützt 2FA/TOTP, serverseitig registrierte Sitzungen, Gerätewiderruf und zentrale Session-Beendigung. Rohe PHP-Session-IDs werden nicht als Verwaltungsdaten gespeichert.
👥 Rollen & Mandanten
Zugriffe werden nach Benutzer, Rolle, Mandant und – wo vorgesehen – Gruppe getrennt. Plattform-Administration bedeutet nicht automatisch Zugriff auf fremde Vault-Secrets.
≡ Audit-Integrität
Sicherheitsrelevante Aktionen werden protokolliert. Neue Audit-Zeilen können kryptografisch verkettet und bei Schlüsselrotation mit vorherigen Schlüsseln verifiziert werden.
🚨 Notfallzugriff
Recovery-Freigaben sind mandantengebunden, zeitlich kontrolliert und read-only. Gruppen-Vaults, Bearbeitung, Export und Adminfunktionen werden über den Notfallzugriff nicht automatisch freigegeben.
🌐 Shared Hosting
Die Root-Konfiguration sperrt Anwendungsquellen, Datenbankdateien, Storage, Tests und Konfigurationsdateien gegen direkten Webzugriff. Öffentlich ausgeliefert werden nur dafür vorgesehene Assets und Frontcontroller-Routen.
Stand: 28.10.2026 · Produktversion 2.1.52 · Responsible Disclosure: security.txt