Der Security-Agent
Der Security-Agent kümmert sich um die Sicherheit Ihres Projekts. Er prüft nach jeder Veröffentlichung den Code Ihrer Website und jede Woche die ganze Website, sagt Ihnen in klaren Worten, was er gefunden hat und was als Nächstes zu tun ist, und bittet den Builder, zu beheben, was Sie freigeben. Er ändert Ihre Website nie von sich aus und sieht nie den Wert eines Schlüssels.
Was er prüft
Das meiste, was er prüft, erledigen die eigenen Prüfungen von Briks, die Ihre Website jedes Mal gleich lesen und keine Credits kosten. Der Agent liest dann nur, worauf eine Prüfung zeigt, entscheidet, ob der Fund echt ist, und erklärt ihn Ihnen.
| Bereich | Was geprüft wird |
|---|---|
| Der Code Ihrer Website | Schlüssel, die in Dateien geschrieben sind, Änderungen an Ihren Daten ohne Begrenzung, wie oft sie vorgenommen werden können, Mitgliederdaten, die gelesen werden, ohne zu prüfen, wer fragt, Text, der als rohes HTML angezeigt wird, Aufrufe an andere Websites und Routen, die in der eigenen Liste der Website fehlen, wer sie nutzen darf. |
| Schlüssel | Jeder Schlüssel, den Ihr Code liest und der nicht unter Settings → Secrets gesetzt ist, und jeder dort gesetzte Schlüssel, den nichts mehr liest. Nur Namen: Der Agent sieht nie einen Wert. |
| Die Live-Website | Ob jede Adresse über https antwortet und einfaches http dorthin weitergeleitet wird, wie viele Tage das Zertifikat noch gültig ist, die Security-Header, das Anmelde-Cookie, ob andere Websites die API Ihrer Website als angemeldeter Besucher nutzen können, Dateien, die nie herunterladbar sein sollten, und Fehlerseiten, die zeigen, wie die Website innen funktioniert. |
| Für eine Domain, von der Sie selbst E-Mails senden: ihre SPF-, Signatur- (DKIM) und DMARC-Einträge. | |
| Dateien und Formulare | Dateien in öffentlichen Storage-Ordnern mit Namen, die privat wirken, etwa backup, invoice, passport oder contract, und ein plötzlicher Schub an Formulareinträgen im Vergleich zu einem üblichen Tag. |
| Pakete | Bekannte Sicherheitshinweise zu den Paketen Ihrer Website, die über die Pakete hinausgehen, mit denen jede Website startet, aus einer öffentlichen Datenbank für Sicherheitshinweise. |
| Ein genauerer Blick | Einmal im Monat liest er die Teile der Website, die Anmeldung, Geld, hochgeladene Dateien oder eine KI-Funktion betreffen, und beginnt mit den Teilen, die sich seit dem letzten Mal geändert haben. |
Wann es läuft
- Nach jeder Veröffentlichung. Die Prüfungen von Code und Schlüsseln laufen sofort und kostenlos auf der Version, die gerade live gegangen ist, so wie sie gespeichert wurde. Der Agent selbst wird nur aktiv, wenn sie etwas Neues finden oder wenn eine von ihm angeforderte Korrektur live gegangen ist und geprüft werden muss.
- Jede Woche, montagmorgens in der Zeitzone Ihres Workspace: alle Prüfungen, auch der Live-Website, und ein kurzer Bericht.
- When you write to it in seinem Thread, zum Beispiel um zu fragen, ob ein neues Formular sicher live gehen kann.
Dringende Funde, etwa ein in eine Seite geschriebener Schlüssel oder eine private Datei, die jeder herunterladen kann, erreichen Sie sofort: in der Glocke und in Ihren Telegram-Chats, die in ihren Hinweisen Urgent security findings aktiviert haben.
Den Bericht lesen
Den Bericht finden
Agents öffnen
Wo: Agents
Wählen Sie das Projekt, dann im Tab Crew den Security-Agent.
Den Tab Security report öffnen
Wo: Security report
Befunde sind nach Schwere gruppiert: Urgent, High, Medium und Low. Die Zahl am Tab zeigt, was auf Sie wartet.
Jeden Befund lesen
Jeder Fund sagt, was jemand tun könnte, was das für Ihr Geschäft bedeutet und was der nächste Schritt ist: etwas, das nur Sie tun können (mit dem Ort dafür), eine Korrektur, die der Builder vornehmen kann, oder der Hinweis, dass Briks sich bereits darum kümmert.
Die eingeklappten Listen prüfen
Akzeptierte Risiken, geprüfte und für in Ordnung befundene Punkte und in den letzten 30 Tagen behobene Befunde sind unten eingeklappt.
Worth checking listet auf, was von etwas abhängt, das nur Sie sehen können, etwa eine Datei in einem öffentlichen Storage-Ordner, deren Name privat wirkt. Es sagt genau, was und wo zu prüfen ist. Befunde, die auf Sie warten, erscheinen auch unter Waiting for you, neben dem, was die anderen Agents fragen.
Fix it und Accept the risk
Den Builder einen Befund beheben lassen
Fix it wählen
Wo: Security report
Die Bestätigung zeigt, was eine Änderung üblicherweise an Credits kostet und wie viele Sie haben. Klicken Sie auf Send to the Builder.
Genehmigen
Wo: Waiting for you
Die Korrektur wartet unter Waiting for you, in Ihrer E-Mail und auf Telegram, wie jede Änderung, die ein Agent anfragt. Sie können sie lesen, ihren Wortlaut ändern, sie genehmigen oder ablehnen.
Der Builder nimmt die Änderung vor
Nach der Freigabe wird sie als neue Version erstellt, geprüft und veröffentlicht. Sie können das in der Versionsliste rückgängig machen.
Der Agent prüft erneut
Sobald die neue Version live ist, laufen die Prüfungen erneut, und der Fund wird als behoben markiert, wenn er verschwunden ist.
Accept the risk ist für ein Ergebnis gedacht, mit dem Sie leben wollen, oft weil es von etwas stammt, das Sie verlangt haben, etwa eine Datei in einem öffentlichen Storage-Ordner, die Sie teilen möchten. Ihre Entscheidung wird mit Ihrem Namen und dem Datum gespeichert, und der Agent meldet es nicht erneut, es sei denn, es wird schlimmer.
Was er nie tut
- Er ändert Ihre Website nie selbst. Jede Korrektur ist eine Änderung, die Sie immer freigeben, vom Builder ausgeführt, mit Rückgängig.
- Er schlägt nie vor, etwas rückgängig zu machen, worum Sie gebeten haben. Birgt Ihre eigene Entscheidung ein Risiko, sagt er das einmal und überlässt die Entscheidung Ihnen.
- Er fragt nie nach dem Wert eines Schlüssels, liest ihn nie und wiederholt ihn nie. Er arbeitet nur mit Schlüsselnamen.
- Er versucht nie, einzubrechen. Auf der Live-Website stellt er nur die einfachen Anfragen, die auch der Browser eines Besuchers stellt, höchstens 25 pro Prüfung, an die eigenen Adressen Ihrer Website.
- Er liest die Datensätze Ihrer Kunden nie einzeln. Er zählt sie und nennt nur dann einen, wenn ein Befund es erfordert.
Budget und Credits
Die Prüfungen selbst kosten nichts. Was der Agent verbraucht, ist das Lesen und Schreiben, mit dem er einen Fund erklärt und eine Korrektur formuliert, bezahlt aus den Credits Ihres Workspace innerhalb seines eigenen Monatsbudgets: standardmäßig 20 Credits, was Sie in seinen Einstellungen ändern können, wobei täglich ein Fünftel davon verfügbar ist. Er bittet pro Lauf um höchstens zwei Korrekturen, die schwerwiegendsten zuerst, und jede Korrektur ist eine normale Änderung mit eigener Credit-Schätzung.
Kann er Dinge beheben, ohne mich zu fragen?
Nein. Sicherheitskorrekturen warten immer auf Ihre Freigabe, und die Einstellungen sagen das anstelle des Schalters, den andere Agenten haben. Jede Korrektur wartet unter Waiting for you mit ihrer Credit-Schätzung, und sobald Sie sie freigeben, wird sie als neue Version veröffentlicht, die Sie rückgängig machen können.
Warum steht da, dass Briks sich bereits darum kümmert?
Manche Funde betreffen, wie jede Website ausgeliefert wird, etwa ein Security-Header oder das Zertifikat. Briks behebt diese für alle Websites auf einmal, sodass weder Sie noch der Builder etwas tun müssen.
Wird er ein akzeptiertes Risiko erneut melden?
Nur wenn es schlimmer wird. Ein Befund, den er geprüft und als kein echtes Risiko eingestuft hat, wird ebenfalls nicht erneut gemeldet.