Zugangsflächen
Public Site, Kundenportal und Owner/Admin sind getrennte Vertrauensflächen.
Verifizierte Grenze
SECURITY ASSURANCE
Sicherheit muss überprüfbar sein.
EPTT verfügt über eine verifizierte Basis für Sessions, CSRF, Kundentrennung, Release-Kontrolle und den öffentlichen Security Edge. MFA, Recovery, Verschlüsselung ruhender Daten, Log-Retention, Backup- und Incident-Prozesse bleiben offen, bis sie dokumentiert sind.
Identität & Session
Serverseitige Sessions, CSRF-Schutz, sichere Cookie-Kontrollen, Ablauf und Revocation sind implementiert.
Verifiziert
Autorisierung & Kundengrenzen
Kundendaten und Downloads folgen expliziten Customer-Party-Grants und Release-Grants.
Verifiziert
Release & Änderungen
Deployed Release, Artifact-Hash, Live-Checks und Rollback-Pfad werden in der kontrollierten Release-Kette verfolgt.
Verifiziert
SECURITY VERIFICATION
Dokumentierte Sicherheit. Klare offene Punkte.
EPTT verfügt über eine verifizierte Basis für Sessions, CSRF, Kundentrennung, Release-Kontrolle und den öffentlichen Security Edge. MFA, Recovery, Verschlüsselung ruhender Daten, Log-Retention, Backup- und Incident-Prozesse bleiben offen, bis sie dokumentiert sind.
01
Authentication & MFAPassword/Session-Login ist aktiv. MFA/2FA, Account Recovery und Step-up Authentication sind noch nicht verifiziert.
Teilweise dokumentiert
02
Session Lifecycle30 Tage Ablauf, Logout, Invalidierung blockierter Benutzer und zentrale Session-Revocation sind implementiert.
Verifiziert
03
Authorization ModelOwner/Admin- und Kundenflächen sind getrennt; Kundenzugriff folgt expliziten Grants.
Verifiziert
04
Encryption & SecretsTLS und Public Edge sind verifiziert. Verschlüsselung ruhender Daten und Key-Rotation Policy bleiben offen.
Zu klären
05
Audit & RetentionLogin- und Release-Aktionen erzeugen Audit Records. Retention- und Löschregeln bleiben offen.
Teilweise dokumentiert
06
Vulnerability & Updatessecurity.txt und der Security-Kontaktflow sind live. Triage und Patch Cadence bleiben offen.
Teilweise dokumentiert
07
Backup SecurityBackup-Verschlüsselung, Restore-Zugriff und Restore-Test-Cadence bleiben für das finale Modell offen.
Zu klären
Konkrete Sicherheitsanforderung?
Nutzen Sie den technischen Dialog für Anforderungen zu Zugang, Netzwerkgrenzen, Logging, Deployment oder Dokumentation.