Nutzung in diesem MonatAbgerechnet über Ihr eigenes Anbieter-Konto
9:41
Tokens im Ruhezustand verschlüsselt Nur offizielle APIs
Verfolgen Sie Ihre Daten mit AeroReply
Wählen Sie etwas, das Sie uns anvertrauen, und sehen Sie genau, wohin es geht und wie es geschützt ist.
1Ihr Browser
2HTTPS · TLS
3AeroReply-API
4AES-256-GCM
Verschlüsselt gespeichert
Verschlüsselung bei Übertragung und im Ruhezustand
Jede Anfrage an AeroReply wird über HTTPS ausgeliefert, mit TLS-Zertifikaten, die an unserem Edge-Proxy automatisch ausgestellt und erneuert werden. Die sensiblen Werte, die wir in Ihrem Auftrag speichern, werden im Ruhezustand mit AES-256-GCM verschlüsselt — mit einem frischen Initialisierungsvektor pro Wert und einem Authentifizierungs-Tag für jeden Datensatz. Das umfasst OAuth-Zugriffs- und Refresh-Token für Ihre verbundenen Social-Media-Konten, Plattform-Clientgeheimnisse, gespeicherte Anbieteranmeldedaten und Webhook-Ziele. Die Verschlüsselungsschlüssel werden der Anwendung über die Umgebung bereitgestellt und niemals zusammen mit den geschützten Daten in der Datenbank gespeichert.
Authentifizierung und Zugriffskontrolle
Passwörter werden mit bcrypt mit einem Kostenfaktor von 12 gehasht und niemals im Klartext gespeichert, protokolliert oder wiederhergestellt. Eine angemeldete Sitzung verwendet ein kurzlebiges Zugriffstoken (standardmäßig 15 Minuten) in Kombination mit einem langlebigen Refresh-Token, das in unserer Datenbank nur als SHA-256-Hash existiert; bei jeder Aktualisierung wird dieses Token rotiert, und das Wiederverwenden eines bereits rotierten Tokens gilt als Diebstahl und widerruft alle aktiven Sitzungen für dieses Konto. Anmeldeendpunkte, Passwortzurücksetzungen und öffentliche Endpunkte sind pro IP begrenzt. Innerhalb eines Workspaces wird der Zugriff durch Rollen gesteuert, die auf ein fein abgestuftes Berechtigungskatalog abgebildet werden, und jeder workspace-bezogene Endpunkt prüft Ihre Mitgliedschaft und die konkrete Berechtigung, bevor er etwas liest oder schreibt. Öffentliche API-Schlüssel werden mit kryptografisch zufälligen Bytes erzeugt, Ihnen genau einmal angezeigt und nur als SHA-256-Hash neben einem gekürzten Anzeigenpräfix gespeichert — wir können einen verlorenen Schlüssel wirklich nicht wiederherstellen, nur rotieren oder widerrufen — und jeder Schlüssel hat einen klaren Lese- oder Schreibbereich, der auf jeder Route durchgesetzt wird.
Infrastruktur und Hosting
AeroReply läuft als containerisierter Stack — Webanwendung, API, Hintergrund-Worker, PostgreSQL und Redis — hinter einem einzigen Reverse Proxy, der TLS beendet. Die Datenspeicher stellen keine Ports ins öffentliche Internet bereit; der Proxy ist die einzige Komponente, die eingehenden Traffic annimmt. Hochgeladene Medien liegen im Object Storage und werden über kurzlebige, signierte Uploads geschrieben statt über einen allgemein beschreibbaren Bucket. Am API-Edge setzen wir auf gängige HTTP-Härtung: Security-Header, eine explizite Allowlist für CORS-Ursprünge statt eines Wildcards und Größenlimits für Request Bodies. Jede URL, die Sie angeben und die wir anschließend aufrufen — ein Webhook-Ziel, ein importierter Feed — wird zuerst gegen private, Loopback- und reservierte Adressbereiche geprüft, damit die Plattform nicht zum Zugriff auf interne Netzwerke missbraucht werden kann.
Backups und Notfallwiederherstellung
Die Produktionsdatenbank wird jede Nacht automatisiert gesichert, und das Archiv wird in einen Object Storage ausgelagert, der getrennt vom Anwendungshost betrieben wird. Redis läuft mit Append-only-Persistenz, sodass Warteschlangen- und laufende Jobs — geplante Beiträge, Renderings, Auslieferungen — einen Neustart überstehen, statt stillschweigend verloren zu gehen. Destruktive Aktionen im Produkt sind bewusst als Soft Deletes umgesetzt: Gelöschte Datensätze werden markiert und aus allen Lesewegen herausgefiltert, statt sofort endgültig entfernt zu werden, sodass sich ein versehentliches Löschen wiederherstellen lässt. Wir veröffentlichen weder eine vertragliche Wiederherstellungszeit noch ein Recovery Point Objective, und wir sagen das lieber offen, als eine Zahl zu nennen, die wir nicht getestet haben. Wenn Ihr Unternehmen verbindliche Wiederherstellungszusagen schriftlich benötigt, kontaktieren Sie uns vor dem Kauf.
Unterauftragsverarbeiter
Wir setzen nur eine kleine Anzahl von Drittanbietern ein, um den Service zu betreiben, und verkaufen, vermieten oder tauschen Ihre Daten mit niemandem. Zahlungen und Abrechnung von Abos werden von Stripe abgewickelt, das Kartendaten direkt verarbeitet — Kartennummern gelangen niemals auf unsere Server. Hochgeladene Medien werden in Amazon S3 gespeichert. Transaktions-E-Mails werden über unseren E-Mail-Anbieter zugestellt. KI-Funktionen rufen den für Ihren Workspace konfigurierten Modellanbieter auf, und Ihre Inhalte werden nur in dem Moment an diesen Anbieter gesendet, in dem Sie eine KI-Funktion nutzen. Die Funktionen für Veröffentlichung, Messaging und Analyse tauschen Daten mit den Social-Media-Plattformen aus, die Sie verbinden, und zwar gemäß den jeweiligen Nutzungsbedingungen dieser Plattformen. Wenn Sie die aktuelle Liste der Unterauftragsverarbeiter in einem Format benötigen, das Sie einer Lieferantenprüfung beilegen können, schreiben Sie uns eine E-Mail und wir senden sie Ihnen zu.
Verantwortungsvolle Offenlegung
Wenn Sie glauben, eine Sicherheitslücke gefunden zu haben, melden Sie diese bitte vor jeder sonstigen Offenlegung an security@aeroreply.com. Geben Sie genügend Details an, damit wir das Problem reproduzieren können — einen Proof of Concept, den betroffenen Endpunkt und die Auswirkungen. Wir bestätigen jede Meldung in gutem Glauben, halten Sie über unsere Arbeit auf dem Laufenden und nennen Sie Sie auf Wunsch als Quelle. Im Gegenzug bitten wir Sie, keine automatisierten Scanner in der Produktion einzusetzen, den Dienst für andere Kunden nicht zu beeinträchtigen und keine Daten anderer Personen als Ihrer eigenen zuzugreifen, zu ändern oder aufzubewahren. Gegen Forschende, die im guten Glauben innerhalb dieser Grenzen handeln, werden wir keine rechtlichen Schritte einleiten.
Klare Antworten von den Machern
Compliance-Status
Konkrete Antworten statt Abzeichen
Wir sind derzeit nicht nach SOC 2, ISO 27001 oder einem vergleichbaren Rahmenwerk zertifiziert, und wir werden auch nichts anderes behaupten. Die oben genannten Maßnahmen zeigen, wie das System heute aufgebaut ist, und wir erläutern sie Ihnen gern im Detail. Sie können Ihren Arbeitsbereich jederzeit löschen, und wenn Sie ein Social-Media-Konto trennen, werden die dafür gespeicherten Token gelöscht.
Sicherheitsfragebögen auf Anfrage ausgefüllt
Verfügbare Auftragsverarbeitungsverträge
Rückrufe zur Löschung von Plattformdaten werden berücksichtigt
