F.01
Passwörter gehasht mit argon2id
Nicht SHA-256, nicht ungesalzen, nichts selbst Gebasteltes. argon2id ist der aktuell empfohlene Passwort-Hash.
propshub.online
Sicherheit · klar erklärt
Sicherheit & Zugriff
Was die Daten Ihrer Produktion wirklich schützt.
Keine Marketingsprache. Das steht im Code: wie Passwörter gespeichert werden, wie Sitzungen ablaufen, wer welchen Film sehen darf und was protokolliert wird.
02 · Was tatsächlich eingebaut ist
Acht Dinge, alle überprüfbar, keines davon nur ein Siegel.
F.02
Kurzlebige Sitzungen, langlebiges Refresh
Access-Tokens laufen nach 15 Minuten ab. Ein Refresh-Cookie — httpOnly, auf den Auth-Endpunkt beschränkt — hält Sie bis zu 7 Tage angemeldet, ohne das Token je dort abzulegen, wo ein Skript auf der Seite es lesen könnte.
F.03
Ein Schalter sperrt alle Geräte
Ändern Sie ein Passwort, ändern Sie eine Rolle oder melden Sie sich ab, und jedes zuvor ausgestellte Access-Token funktioniert nicht mehr — auf jedem Gerät, sofort.
F.04
Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes
TOTP-2FA für jedes Konto, in jedem Tarif. Verlieren Sie Ihr Gerät, bleiben die Wiederherstellungscodes; verlieren Sie auch die, kann ein Admin zurücksetzen — protokolliert im Audit-Trail.
F.05
Zugriff pro Film, serverseitig durchgesetzt
Lesen, Schreiben oder kein Zugriff — explizit festgelegt, pro Person, pro Gruppe, pro Film. Bei jeder Anfrage geprüft, nicht nur hinter einem Button in der Oberfläche versteckt.
F.06
Die Existenz eines Films lässt sich nicht erraten
Ein Film, auf den Sie keinen Zugriff haben, und ein Film, den es nicht gibt, liefern denselben 404. Produktionen, an denen Sie nicht beteiligt sind, lassen sich so nicht aufspüren.
F.07
Jede berechtigungsrelevante Aktion wird protokolliert
Wer was wann getan hat — einsehbar für Admins, exportierbar als CSV.
F.08
Ratenbegrenzt und abgesichert
Login-Versuche werden über Redis gedrosselt. Eine strikte Content-Security-Policy gilt für jede Antwort.
03 · Was konkret ruhend verschlüsselt ist
Eine Sache ist ruhend verschlüsselt. Ihre Produktionsdaten sind es nicht.
Verbinden Sie einen KI-Anbieter, wird der API-Schlüssel, den Sie PropsHub geben, vor der Speicherung mit AES-256-GCM ruhend verschlüsselt. Das ist die einzige Stelle, an der PropsHub heute Verschlüsselung ruhender Daten einsetzt.
Ihre Szenen, Requisiten und Ihr Inventar sind nicht separat ruhend verschlüsselt — sie sind so geschützt, wie oben beschrieben: durch Zugriffskontrolle und Audit-Log, nicht durch Verschlüsselung der Datenbank selbst. Das sagen wir lieber offen, als „AES-256-GCM“ auf dieser Seite mehr suggerieren zu lassen, als tatsächlich zutrifft.
04 · Was wir noch nicht veröffentlicht haben
Eine ehrliche Lücke.
Noch keine veröffentlichte Datenschutzerklärung oder AVV
Wir sind ein kleines Produkt mit nur einem Betreiber und haben noch keine formelle Datenschutzerklärung oder einen Auftragsverarbeitungsvertrag veröffentlicht. Braucht Ihre Produktion einen, bevor sie zustimmen kann, sagen Sie uns Bescheid — wir erledigen das, statt eine Behauptung aufzustellen, die wir noch nicht belegen können.
Fragen Sie uns alles zu dieser Seite.
Eine Sicherheitsfrage bekommt eine klare Antwort.
PropsHub ist derzeit nur auf Einladung zugänglich, solange wir die ersten Produktionen persönlich einrichten. Fragen Sie, bevor Sie zustimmen, und wir sagen Ihnen genau, was heute zutrifft.