Sicherheit

Auf Stifti liegen Daten von Jugendlichen. Darum nehmen wir Sicherheit ernst und freuen uns über Hinweise.

Wie wir Stifti schützen

• Zeugnisse und Dossiers sind Ende-zu-Ende verschlüsselt. Auch wir können sie nicht lesen.
• Die Anmeldung läuft über EAuth, auf Wunsch mit einem Passkey statt eines Passworts.
• Sitzungen speichern wir nur als Hashwert. Wer die Datenbank liest, kann sich damit nicht anmelden.
• Alle Verbindungen sind verschlüsselt (HTTPS).
• Unsere Skripte und Stile werden mit Subresource Integrity geprüft, eine strenge Content Security Policy verhindert fremden Code.
• Fotos werden neu gezeichnet, damit keine versteckten Daten wie der Standort mitkommen.
• Für unser Team gilt: Wer verwaltet, muss sich frisch anmelden, und jede Aktion wird protokolliert.

Schwachstelle gefunden?

Schreib an legal@stifti.ch mit dem Betreff «Sicherheit». Beschreib, was du gefunden hast und wie man es nachvollziehen kann.

• Wir antworten innert weniger Tage.
• Gib uns Zeit, das Problem zu beheben, bevor du es veröffentlichst.
• Greif nicht auf Daten anderer zu, ändere nichts und lösche nichts. Ein Nachweis reicht.
• Wer sich daran hält, muss von uns keine rechtlichen Schritte befürchten.

Wir können noch keine Belohnung bezahlen, nennen dich aber gerne mit Namen, wenn du das möchtest.