Vertrauen

Die technischen Einzelheiten hinter unserer Sicherheitsseite, für IT-Teams, Entwickler und alle, die eine Prüfung durchführen. Alles hier ist heute umgesetzt, sofern nicht anders angegeben.

Zuletzt aktualisiert am 12. Oktober 2026

Hosting und Datenstandorte

• Server: in London, Vereinigtes Königreich. Sie betreiben die API, den KI-Connector, das Dashboard und die Auslieferung veröffentlichter Websites und halten die Kontodatenbank.
• Website-Dateien: liegen in dauerhaftem Objektspeicher in der EU. Dieser Speicher ist das führende System; die Londoner Server halten nur einen Cache.
• Datenbank-Backups: im selben EU-Speicher, in einem separaten Bucket mit separaten Schlüsseln.
• Edge: Ein globales Netzwerk liefert öffentliche Seiten nah bei den Besuchern aus und speichert sie zwischen.
• Außerhalb des Vereinigten Königreichs/der EU: Unsere Anmelde-, Zahlungs- und E-Mail-Dienste verarbeiten einige Daten in den Vereinigten Staaten. Die Unternehmen stehen auf unserer Seite Unterauftragsverarbeiter.

Netzwerk und Transport

• Jeder Hostname auf pagelemon.com und pagelemon.dev wird über ein globales Edge-Netzwerk ausgeliefert, das DDoS-Abwehr und TLS am Edge bietet. Einfaches HTTP wird auf HTTPS umgeleitet.
• Origin-Sperre: Unsere Server verwerfen Webanfragen, die nicht aus den veröffentlichten IP-Bereichen des Edge-Netzwerks kommen, sodass der Origin nicht direkt erreicht werden kann, um es zu umgehen.
• Auch die Strecke vom Edge-Netzwerk zu unseren Servern ist verschlüsselt, mit einem Origin-Zertifikat.
• HSTS (6 Monate, inklusive Subdomains) auf pagelemon.com und den Hosts für App, API und Connector. .dev ist eine Top-Level-Domain mit HSTS-Preload, Browser erreichen Nutzer-Websites also nur über HTTPS.

Website-Isolation und Header

• Getrennte registrierbare Domains. Nutzer-Websites werden von *.pagelemon.dev ausgeliefert; Konten, Dashboard und API liegen auf pagelemon.com. Cookies und Speicher einer Nutzer-Website können nie an die Kontositzung gelangen.
• Strenge Content Security Policy auf der Marketing-Website (Skripte nur von unserem eigenen Origin, kein Framing) und X-Frame-Options: DENY im Dashboard.
• Nutzer-Websites werden mit X-Content-Type-Options: nosniff, einer strengen Referrer-Policy und Cross-Origin-Opener-Policy: same-origin-allow-popups ausgeliefert. Wir schleusen keine Skripte, Tracker oder Cookies ein; das Badge im kostenlosen Tarif ist reines HTML und CSS.
• Passwortgeschützte Websites und Websites nur für Mitglieder werden nie in geteilten Caches gespeichert (Cache-Control: private, no-store) und nie indexiert.
• Wird eine Website wegen Missbrauchs gesperrt, wird sie mit Clear-Site-Data ausgeliefert, sodass der Browser des Besuchers Cache, Speicher und Service Worker verwirft.
• Website-Passwörter werden mit scrypt gehasht (zufälliger Salt pro Website). Das Entsperr-Cookie des Besuchers ist HMAC-signiert, HttpOnly und Secure, und eine Passwortänderung macht jedes alte Cookie ungültig. Fehlgeschlagene Entsperrversuche sind ratenbegrenzt.

Server-Härtung

• SSH nur mit persönlichen, namentlich zugeordneten Schlüsseln: Passwort-Logins und Root-Login sind aus. Eine Host-Firewall erlaubt nur SSH- und Web-Traffic.
• Jeder Dienst läuft in einem eigenen Container als Nicht-Root-Benutzer, mit schreibgeschütztem Dateisystem, ohne Linux-Capabilities, mit blockierter Rechteausweitung und eigenen Speicher- und Prozesslimits, damit ein Fehler den Rest nicht lahmlegen kann.
• Geheimnisse sind nach Dienst getrennt: Die Anwendung sieht die Backup-Schlüssel nicht, und der Backup-Job sieht keine Schlüssel für Anmeldung, Zahlungen oder E-Mail.
• Speicherschlüssel sind auf einen einzigen Bucket beschränkt und an die IP-Adresse unseres Servers gebunden. E-Mail-Schlüssel können nur senden.
• Jedes Release durchläuft die automatisierte Testsuite, bevor es ausgeliefert wird. Release-Images werden außerhalb des Servers gebaut, und das vorherige bleibt für ein Rollback mit einem Befehl erhalten.
• Aktionen von Mitarbeitenden in den Admin-Tools werden in einem Audit-Log erfasst, und sensible Aktionen erfordern eine Anmeldung aus den letzten 10 Minuten.

Backups, Versionen und Wiederherstellung

• Kontinuierliches Datenbank-Backup: Änderungen werden innerhalb von Sekunden in den EU-Speicher gestreamt, mit Wiederherstellung zu einem beliebigen Zeitpunkt.
• Getestete Wiederherstellungen: Eine Wiederherstellungsübung baut die Datenbank aus dem Backup neu auf und führt eine Integritätsprüfung durch. Letzter Lauf am 12. Oktober 2026: bestanden.
• Löschsperre: Aktuelle Website-Dateien und Datenbank-Backups liegen unter einer Bucket-Sperre und können nicht gelöscht werden, nicht einmal mit den eigenen Schlüsseln unseres Servers.
• Unveränderliche Versionen: Jede Veröffentlichung ist eine neue Version, die sich nicht mehr ändert. Live zu gehen heißt nur, den Zeiger umzustellen, und ein Zurück ist ein einziger Aufruf. Jede Version bleibt 30 Tage erhalten, danach die jeweils letzte jeder Woche, je nach Tarif von 7 Tagen (Kostenlos) bis zu 2 Jahren (Company).
• Keine verlorenen Änderungen: Jede Veröffentlichung nennt die Version, von der sie ausging; hat zwischendurch jemand anderes veröffentlicht, wird sie mit einem klaren Konflikt abgelehnt, statt dessen Arbeit zu überschreiben.
• Serve-stale: Öffentliche, veröffentlichte Dateien können bis zu 7 Tage aus dem Edge-Cache ausgeliefert werden, wenn unser Origin ausfällt oder Fehler liefert. Private Websites werden nie zwischengespeichert.
• Überwachung: Eine externe Prüfung auf einem separaten Server testet API, Dashboard und Connector alle 5 Minuten und schickt bei einem Ausfall eine E-Mail-Warnung. Die Anwendung warnt bei fehlenden gespeicherten Dateien.

Anmeldung und Kontosicherheit

Die Kontoanmeldung übernimmt ein spezialisierter Anmeldedienst. Derzeit:

• Anmeldemethoden: Einmalcode per E-Mail, Google oder Passwort. E-Mail-Adressen werden mit einem Code bestätigt.
• Passwörter: mindestens 15 Zeichen, bei der Registrierung und erneut bei der Anmeldung gegen bekannte geleakte Passwörter geprüft.
• Kontosperre nach mehreren fehlgeschlagenen Versuchen.
• Wir erhalten nur ein signiertes Sitzungstoken, das bei jeder Anfrage gegen unsere eigenen Domains geprüft wird. Wir sehen oder speichern nie Kontopasswörter.

Websites nur für Mitglieder melden Besucher:innen mit ihrer E-Mail-Adresse auf app.pagelemon.com an und übergeben der Website dann einen Einmalcode für ihr eigenes Cookie. Auf der Website selbst läuft kein Anmelde-Skript. Kartenzahlungen übernimmt unser Zahlungsdienstleister; Kartennummern berühren unsere Server nie.

KI-Verbindungen und API-Tokens

• KI-Apps verbinden sich über OAuth mit PKCE (S256) und Resource Indicators. Access-Tokens gelten 1 Stunde; Refresh-Tokens rotieren bei Nutzung, Verbindungen enden nach 30 Tagen ohne Nutzung, und die Wiederverwendung eines alten Codes oder Refresh-Tokens widerruft die ganze Verbindung.
• API-Tokens und Website-Tokens werden nur als SHA-256-Hashes gespeichert. Jeder Token hat Scopes (deploy oder deploy + manage), kann auf eine Website beschränkt werden, ablaufen und jederzeit widerrufen werden.
• Menschliche Bestätigung: Leute einladen, ein Website-Passwort entfernen, eine Website umbenennen und übertragen liefern einen Bestätigungslink, den der Kontoinhaber angemeldet öffnen und bestätigen muss. Ein Token allein kann das nicht. Destruktive Aktionen laufen in zwei Schritten.
• Jedes neue Token und jede neue KI-Verbindung erscheint als Hinweis in den Benachrichtigungen der Kontoinhaber:in in der App und wird ihr normalerweise auch per E-Mail geschickt.

Upload-Prüfungen

• Leak-Schutz: Jede Textdatei wird auf bekannte Arten geheimer und privater Schlüssel gescannt. Ein Treffer blockiert den gesamten Upload und nennt Datei und Zeile.
• Versionskontroll-Ordner, Umgebungsdateien, Abhängigkeitsordner, Source Maps und Schlüsseldateien werden übersprungen und nie ausgeliefert.
• Archive werden beim Entpacken mit Obergrenzen für Größe und Dateianzahl geprüft; Links, Geräte, absolute Pfade und ..-Pfade werden abgelehnt.
• Anonyme und kostenlose Websites akzeptieren nur Web-Dateien, anhand des Inhalts geprüft: keine Programme, Installer oder Skripte, und Binärdateien müssen wirklich Bilder, Schriften, Audio, Video, PDF oder WebAssembly sein.
• Uploads ohne Konto sind pro Netzwerk begrenzt.

Phishing und Missbrauch

• Gewählte Website-Namen werden abgelehnt, wenn sie reserviert sind, Hochrisiko-Marken nachahmen (Banken, Zahlungsdienste, Kurierdienste, Krypto, Behörden, Big Tech), auch in ähnlichen Schreibweisen, oder gängige Phishing-Wörter enthalten. Eigene Domains, die diese Marken nachahmen, werden ebenfalls abgelehnt.
• Nicht übernommene Websites laufen nach 72 Stunden ab und lassen sich nicht mit einem Passwort schützen, also auch nicht vor einer Prüfung verstecken. Nicht übernommene Websites und Websites unter 7 Tagen senden noindex.
• Jeder kann jede Website unter pagelemon.com/report melden (jede Website verlinkt außerdem von /_pagelemon/report und ihrer security.txt dorthin); Meldungen gehen an das Team, das eine Website sofort sperren und Konten ausschließen kann. Jede Aktion des Teams wird protokolliert.
• Website-Plugins warnen und können abgeschaltet werden, wenn eine Seite ein Passwortfeld daneben platziert.

E-Mail-Authentifizierung

• *.pagelemon.dev: Null-MX, v=spf1 -all und DMARC p=reject, sodass keine Nutzer-Website-Adresse E-Mails empfangen oder zum Fälschen genutzt werden kann.
• E-Mails, die im Auftrag von Websites verschickt werden, kommen von pagelemon.dev, DKIM-signiert, unter strengem DMARC (p=reject, strenges Alignment). Unsere eigenen E-Mails kommen von pagelemon.com, DKIM-signiert, mit DMARC p=reject, sodass E-Mails, die unsere Adressen fälschen, abgelehnt werden.
• E-Mails von Websites und unsere eigenen E-Mails nutzen getrennte Domains, damit Spam von einer missbrauchten Website die Zustellung von Anmelde- und Abrechnungs-E-Mails nicht beeinträchtigt.

Logs und Datenaufbewahrung

• Zugriffsprotokolle für die App, die API und veröffentlichte Websites speichern gekürzte IP-Adressen und entfernen Autorisierungs-Header, Cookies, Query-Strings und geheime Link-Token. Auf unserer Marketing-Website behält das Protokoll vom Query-String nur die Teile ref, invite und utm_, die uns zeigen, welcher Link dich gebracht hat. Alle Protokolle werden weit innerhalb von 30 Tagen überschrieben.
• IP-Adressen von Uploadern bei Websites, die ohne Konto veröffentlicht wurden, werden nach 30 Tagen gelöscht.
• Dateien gelöschter Websites werden nach 7 Tagen entfernt. Du kannst jede Website als ZIP herunterladen und dein Konto selbst löschen.

Zertifizierungen

Unsere Hosting-, Edge-Netzwerk-, Anmelde-, Zahlungs- und E-Mail-Dienste werden von etablierten Anbietern betrieben, die unabhängige Sicherheitszertifizierungen wie SOC 2 Type II und ISO/IEC 27001 besitzen, und unser Zahlungsdienstleister ist PCI DSS Level 1. Diese Anbieter arbeiten in einem weit größeren Maßstab als Page Lemon, sodass die Kapazität mit uns wächst; unser eigener Plan, Schritt für Schritt zu wachsen, ist schriftlich festgehalten und wird durch gemessene Last ausgelöst. Jedes Unternehmen, das für uns deine Daten verarbeitet, ist auf unserer Seite Unterauftragsverarbeiter genannt.

Noch nicht umgesetzt

Wir sagen es dir lieber selbst, bevor du es herausfindest:

• Public Suffix List: pagelemon.dev steht noch nicht auf der Public Suffix List. Bis dahin behandeln Browser benachbarte Websites auf pagelemon.dev bei Cookies als dieselbe Website. Unsere Konten sind nicht betroffen (sie liegen auf pagelemon.com); die Einreichung wird vorbereitet.
• Zwei-Faktor-Anmeldung gibt es für Konten bei Page Lemon noch nicht.
• Page Lemon hat keine eigene SOC-2- oder ISO-27001-Zertifizierung.

Schwachstelle melden

Schreib an support@pagelemon.com. Greife bitte nicht auf Daten anderer zu, störe den Dienst nicht und veröffentliche keine Details, bevor wir das Problem behoben haben. Gegen Forschung in gutem Glauben, die diese Regeln einhält, gehen wir nicht rechtlich vor, und auf Wunsch nennen wir dich namentlich. Unsere Kontaktdaten stehen auch in security.txt.

Um stattdessen eine schädliche Website zu melden, nutze Website melden.