Sicherheit
Sicherheit, klar beschrieben
Was wir heute tun, ohne Siegel, die wir nicht verdient haben. Wir behaupten keine SOC-2- oder ISO-27001-Zertifizierung. Wenn du einen Sicherheitsfragebogen beantwortet haben möchtest, schreib uns.
Infrastruktur
E-Mails werden von Amazon SES in AWS eu-central-1 (Frankfurt) zugestellt. Die Anwendung, die Worker und die Datenbank laufen bei Railway in dessen EU-Region (Amsterdam, Niederlande). Jedes Team versendet über einen eigenen SES-Tenant, sodass Reputationsprobleme eines Kunden andere nicht betreffen. SpacePost nutzt eigene SES-Konfigurationssätze und einen dedizierten IAM-Benutzer, der auf die SES-, SQS- und SNS-Ressourcen von SpacePost beschränkt ist.
Verschlüsselung bei der Übertragung
API, Dashboard und SMTP-Relay erfordern TLS. Einfache HTTP-Anfragen werden umgeleitet oder abgelehnt, und das SMTP-Relay (Port 25976) verlangt STARTTLS vor der Anmeldung.
Verschlüsselung im Ruhezustand
Unsere Datenbank-Volumes und Backups werden vom Hosting-Anbieter im Ruhezustand verschlüsselt, und bei Amazon SES gespeicherte Nachrichtendaten verschlüsselt AWS.
API-Schlüssel
Schlüssel (sp_live_...) werden genau einmal beim Erstellen angezeigt. Wir speichern nur einen SHA-256-Hash, können einen Schlüssel also später weder anzeigen noch wiederherstellen. Schlüssel lassen sich auf das Senden und auf eine einzelne Domain beschränken und sofort widerrufen.
Webhook-Signierung
Jeder Webhook wird mit einem Secret pro Endpunkt nach dem Standard-Webhooks-Schema signiert (webhook-id, webhook-timestamp, webhook-signature), damit du gefälschte und wiederholte Anfragen ablehnen kannst.
Zugriffskontrolle
Alle Daten gehören zu einem Team und werden bei jeder Anfrage geprüft. Die Dashboard-Anmeldung unterstützt E-Mail und Passwort, Magic Links und GitHub. Der Zugriff unserer Mitarbeiter auf Produktivdaten beschränkt sich auf das, was für Support und Missbrauchsbearbeitung nötig ist.
Missbrauchskontrolle
Neue Teams sind 7 Tage lang auf 100 E-Mails pro Tag in der Sandbox begrenzt. Teams werden bei hohen Bounce- oder Beschwerderaten automatisch pausiert, und jeder Empfänger wird vor dem Versand gegen deine Sperrliste geprüft.
Datenaufbewahrung
E-Mail-Logs werden bei Free 30 Tage, bei Pro 30 und bei Scale 60 aufbewahrt und dann per geplantem Job gelöscht. Einträge der Sperrliste und Kontodaten bleiben, solange dein Konto aktiv ist. Zu Löschung und Export siehe die Datenschutzerklärung.
Unterauftragsverarbeiter
Die Dritten, die in unserem Auftrag Kundendaten verarbeiten, sind öffentlich mit Zweck und Standort aufgeführt.
Unterauftragsverarbeiter ansehen(Englisch)Verantwortungsvolle Offenlegung
Schwachstelle gefunden? Schreib an security@spacepost.dev mit Schritten zur Reproduktion.
- Wir bestätigen Meldungen innerhalb von drei Werktagen und halten dich auf dem Laufenden, bis das Problem behoben ist.
- Bitte greife nicht auf Daten anderer Kunden zu, beeinträchtige den Dienst nicht, versende keinen Spam über unsere Infrastruktur und veröffentliche keine Details, bevor wir das Problem behoben haben.
- Gegen Recherchen in gutem Glauben, die diese Regeln einhalten, gehen wir nicht rechtlich vor. Ein bezahltes Bounty-Programm haben wir noch nicht.
Dienststörungen: Statusseite.