Konto und Zugriffsschutz
Passwörter werden mit bcrypt gehasht. Sitzungen nutzen HTTP-only-Cookies und serverseitige Token-Hashes. Dokument- und Audio-APIs prüfen die Kontozuordnung. Rücksetzlinks sind einmalig nutzbar; ein abgeschlossenes Zurücksetzen widerruft vorhandene Sitzungen. Administrative Aktionen erfordern entsprechende Berechtigungen. Sensible Integrationsänderungen verlangen eine Passwortprüfung.
Speicher und Zugangsdaten der Dienste
Originale und Audio liegen in privatem R2-Speicher mit kurzlebigen signierten Links. Zugangsdaten der Anbieter werden verschlüsselt in der Datenbank gespeichert. Ein Downloadlink kann bis zu seinem Ablauf verwendbar bleiben. Bereits auf ein Gerät heruntergeladene Inhalte lassen sich nicht zurückrufen. Dies ist keine Ende-zu-Ende-Verschlüsselung: Autorisierte Dienste müssen Text und Sprache verarbeiten können.
Aktuelle Grenzen
Das Produkt hat noch keine öffentliche Sicherheitsprüfung für den Produktivbetrieb abgeschlossen. Mehrfaktor-Authentifizierung für Administratoren, umfassende Vorfallüberwachung, Wiederherstellungstests für Produktionssicherungen und weitergehende Missbrauchskontrollen stehen vor einer öffentlichen Beta noch aus. Es werden keine Zertifizierung oder Verfügbarkeitsgarantie zugesagt.
Eine Schwachstelle melden
Sende eine LeafRead-Sicherheitsmeldung mit kurzer Beschreibung und den nötigen Schritten zur Reproduktion an support@leafread.io. Greife nicht auf fremde Daten zu und störe den Dienst nicht. Sende keine Passwörter, aktiven Tokens oder vollständigen privaten Dokumente. Es gibt kein öffentliches Programm für Prämien bei Sicherheitsmeldungen.