Sichtbare Grenzen für sensible Aktionen.

Konten und Sitzungen

Passwörter werden mit bcrypt gehasht. Web-Sitzungen sind signiert, IDE-Sitzungen werden als Hash gespeichert und können im Profil widerrufen werden. Eine Sperre macht Web-, IDE- und API-Zugänge ungültig.

Der Schutz des kostenlosen Tarifs kombiniert einen pseudonymisierten Gerätefingerabdruck mit der vom Server beobachteten Netzwerkadresse. Es werden weder ein detailliertes Hardware-Inventar noch eine rohe Systemkennung gesendet. Ein Gerätekonflikt lehnt das zweite kostenlose Kontingent ab, ohne die Konten automatisch zu sperren.

API-Schlüssel

Ein ACLIDE-Schlüssel beginnt mit aclide_sk_ und wird nur einmal im Klartext angezeigt. Gespeichert werden nur sein SHA-256-Hash, sein Präfix und die letzten vier Zeichen. Ein widerrufener Schlüssel kann nicht reaktiviert werden.

Aktionen des Agenten

Gefährliche Vorgänge müssen eine sichtbare Bestätigung anfordern: Ausführung von Befehlen, rekursives Löschen, Zugriff außerhalb des Arbeitsbereichs, Lesen eines bekannten Geheimnisses oder umfangreiche Änderungen. Die letzte Entscheidung liegt beim Nutzer.

Minimierte Protokolle

Nutzungsprotokolle speichern die für Kontingent und Diagnose erforderlichen Metadaten: Modell, Token, Guthaben, Latenz und Status. Prompt, Antwort, Authentifizierungstoken und sensible Header werden nicht gespeichert.

Sicherheitslücke melden

Senden Sie eine reproduzierbare Beschreibung an [email protected]. Greifen Sie nicht auf Daten Dritter zu, unterbrechen Sie den Dienst nicht und veröffentlichen Sie die Lücke nicht, bevor eine Korrektur vorbereitet werden kann.

Nennen Sie die betroffene Oberfläche, die Schritte, die beobachteten Auswirkungen und eine Kontaktmöglichkeit. Die Meldung darf keine Passwörter, privaten Schlüssel oder echten Nutzerdaten enthalten.