Sicherheit
Visqio ist so gebaut, dass die Daten jeder Organisation getrennt und privat bleiben – mit strikter Isolation, Verschlüsselung und Audit-Protokollierung.
Agenturen bewahren die Search-Console-Daten vieler Kunden an einem Ort auf. Dies sind die Fakten dazu, wie Visqio sie schützt — es werden keine Zertifizierungen behauptet, die Visqio nicht besitzt.
Organisationsdatenschutz
- Isolationsmodell
- Organisationsbezogene Repositories
- Jede Query ist auf die Organisation des Aufrufers beschränkt; Inserts übernehmen die organization_id aus dem Sitzungskontext, nie aus der Eingabe.
- Organisationsübergreifende IDs
- Lösen sich zu 404 auf
- Unbekannte oder fremde Kennungen sind von fehlenden nicht zu unterscheiden.
- Rollen
- Visqio-Systemadministrator, Markenadministrator, SEO-Manager, Analyst, Kunde, Betrachter
- Ausdrückliche Create/Read/Update/Delete/Execute-Matrix je Ressource; auf einen Kunden festgelegte Mitglieder sehen nur einen Kunden.
- Registrierung
- Nur mit Einladung
- Keine Selbstregistrierung; Einladungen laufen nach 7 Tagen ab und sind einmalig nutzbar.
Verschlüsselung
- Google-Refresh-Tokens
- AES-256-GCM im Ruhezustand
- Versionierter Chiffretext mit Unterstützung für Schlüsselrotation.
- Passwörter
- argon2id
- Mindestens 12 Zeichen, Breach-Listen- und Stärkeprüfungen.
- Transport
- TLS über Cloudflare
- HSTS-Preload, Origin-Zertifikat zwischen Cloudflare und dem Server.
- Sitzungs-Tokens
- Zufällig, gehasht gespeichert
- Nur ein SHA-256-Hash des Sitzungs-Tokens wird gespeichert.
Zwei-Faktor-Authentifizierung
Im Konto Zwei-Faktor-Authentifizierung mit einer Authenticator-App aktivieren und zehn einmalige Wiederherstellungscodes sicher speichern. Sie werden nur einmal angezeigt. Aktivieren/Deaktivieren meldet andere Sitzungen ab. Danach erfordern Anmeldung einen Code und sensible Anbieter-/Berechtigungsänderungen eine Bestätigung der letzten 15 Minuten. Passwortzurücksetzen deaktiviert MFA nicht. Vor Annahme einer Einladung für ein geschütztes bestehendes Konto normal anmelden.
Audit und Sitzungen
- Audit-Log
- Jede Änderung
- Akteur, Aktion, Ressource, Vorher/Nachher-Zustand, IP, User-Agent und Request-ID — append-only.
- Sitzungswiderruf
- Pro Sitzung und alle Sitzungen
- Nutzer können andere Sitzungen beenden; Admins können die Sitzungen eines Nutzers widerrufen; ein Passwort-Reset widerruft alle.
- Rate-Limiting
- Gleitendes Fenster je IP und Konto
- Login, Passwort-Reset und Einladungsanfragen schlagen geschlossen fehl, wenn der Limiter nicht verfügbar ist.
- Header
- CSP mit Nonce pro Request
- Plus X-Frame-Options DENY, nosniff, strikte Referrer-Policy.
Markenschutz
- Phishing-Überwachung
- Erkennung ähnlicher Hosts auf Brand-SERPs
- Kandidaten werden mit Belegen klassifiziert, nie automatisch gemeldet.
- Beleg-Erfassung
- Screenshots und Header
- Außerhalb des Web-Roots gespeichert und nur autorisierten Mitgliedern bereitgestellt.
- Testsites
- Identische Inhalte für jeden User-Agent
- Es existiert kein Cloaking-Code-Pfad; Inhalte werden vor jedem Rendern erneut validiert.
Verantwortungsvolle Offenlegung
Wenn Sie glauben, ein Sicherheitsproblem in Visqio gefunden zu haben, senden Sie eine E-Mail an security@visqio.com mit Schritten zur Reproduktion. Bitte greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und geben Sie uns angemessene Zeit, das Problem zu beheben, bevor Sie es offenlegen. Wir bestätigen Meldungen innerhalb weniger Werktage.
Der Umgang mit personenbezogenen Daten ist in der Datenschutzerklärung beschrieben.
Einladung anfragen
Erzählen Sie uns von Ihrem Team und Ihrem Anwendungsfall. Wir prüfen jede Anfrage manuell.