Sicherheit & Support

Was wir schützen, gegen wen und mit welchen Grenzen, beschreibt das Bedrohungsmodell.

Tokens sicher aufbewahren

Tokens gehören in einen Passwort-Manager oder den Secret-Speicher Ihres Systems — nie in Webseiten, Apps im Browser, E-Mails, Chat-Nachrichten oder Git. Die API ist nur für Server-zu-Server-Aufrufe gedacht; Browser anderer Websites können sie bewusst nicht aufrufen.

Wenn ein Token in falsche Hände geraten ist

Sofort unter Administration → API-Zugänge widerrufen — der Widerruf wirkt ab der nächsten Anfrage. Im Notfall „Alle widerrufen“. Danach ein neues Token anlegen. Unter „Zuletzt genutzt“ sehen Sie Zeitpunkt und IP-Adresse der letzten Nutzung.

Sicherheitslücke melden

Sicherheitsbedenken und Schwachstellen melden Sie bitte per E-Mail an security@manage2hero.com. Die Adresse steht auch in unserer security.txt (/.well-known/security.txt). Wir prüfen Ihre Meldung und melden uns bei Rückfragen.

Eine Meldung sollte enthalten:

• den betroffenen Endpunkt oder die betroffene Funktion
• die Schritte, mit denen sich das Problem nachstellen lässt
• die vermutete Auswirkung
• die request_id der betroffenen Antwort, falls vorhanden

Bitte nicht:

• ein Token oder Geheimnis mitschicken — auch nicht, um das Problem zu belegen
• Kundendaten mitschicken oder sammeln
• auf Daten anderer Organisationen zugreifen, um die Lücke zu beweisen
• Lasttests oder Denial-of-Service-Versuche gegen die Produktion durchführen

Haben Sie ein Token verloren, widerrufen Sie es zuerst sofort in der Verwaltung (siehe Sicherheit & Support).

Support

Bitte bei Fragen immer die request_id der betroffenen Antwort angeben (steht im Inhalt und im Kopf X-Request-Id). Das Token selbst geben Sie niemals weiter — auch nicht an uns.

Betriebsstatus

Ob die API und die Webhook-Zustellung gerade funktionieren, zeigt die Statusseite — mit Verfügbarkeit der letzten 30 und 90 Tage und den jüngsten Vorfällen. Sie braucht keine Anmeldung.