Sicherheit

Was Cord tut, um Ihre Daten und die Ihrer Kunden zu schützen – so detailliert, wie es ein Sicherheitsteam verlangt.

Diese Seite beschreibt Kontrollen, die es heute im Produkt gibt. Wenn Ihr Team etwas benötigt, das hier nicht aufgeführt ist, schreiben Sie uns.

Daten bei der Übertragung und im Ruhezustand

Der gesamte Datenverkehr läuft über HTTPS. Cord sendet Strict-Transport-Security mit includeSubDomains und preload, eine Content Security Policy und X-Content-Type-Options: nosniff.
Die Secrets, die Cord in Ihrem Namen speichert (Anmeldedaten von Integrationen, Signatur-Secrets von Webhooks), werden mit AES-256-GCM verschlüsselt, bevor sie die Datenbank erreichen. Der Verschlüsselungsschlüssel lässt sich rotieren, ohne das zu verlieren, was mit dem vorherigen verschlüsselt wurde.
Passwörter werden mit Argon2id gespeichert. Sitzungstoken und API-Schlüssel werden nur als Hash gespeichert: Wer die Datenbank liest, erhält keine nutzbaren Anmeldedaten.

Wo die Daten liegen und wer stempelt

Datenbank: PostgreSQL bei Neon, AWS-Region us-east-1 (Virginia, Vereinigte Staaten).
Ausführung: Die Funktionen laufen bei Vercel, Region iad1 (Washington D.C., Vereinigte Staaten).
Rechnungsstellung in Mexiko: Die Stempelung von CFDI 4.0 übernimmt Facturapi als PAC, mit dem CSD des jeweiligen Unternehmens. Cord storniert CFDI mit dem entsprechenden Grund des SAT und stellt Kreditverkäufe mit der Methode PPD aus. Für jede Zahlung in MXN auf eine PPD-Rechnung stempelt Cord automatisch das zugehörige Zahlungskomplement (CFDI Typ P), idempotent pro Zahlung.
Rechnungsstellung in Spanien: Mit hochgeladenem Zertifikat des Unternehmens erzeugt Cord die verketteten Verifactu-Datensätze und übermittelt sie getrennt von der Ausstellung an die AEAT (in der Beta, bis die erste Übermittlung angenommen ist). Ohne Zertifikat oder im kostenlosen Tarif wird die Rechnung als Proforma ausgestellt.
Zertifizierungen: Cord verfügt derzeit weder über SOC 2 noch über ISO 27001. Siehe Sicherheitsaudits.

Identität und Zugriff

Anmeldung mit Passwort, Google oder Passkeys sowie SSO mit SAML für Teams. Apple ist demnächst verfügbar.
Ein neues Passwort hat mindestens 10 Zeichen, enthält nicht die E-Mail-Adresse des Kontos und taucht in keinen öffentlichen Datenlecks auf. Diese Prüfung nutzt k-Anonymität: Nur die ersten 5 Zeichen des SHA-1-Hashs des Passworts verlassen Cord, und der Abgleich erfolgt in Cord, sodass das Passwort selbst nie übertragen wird.
Zwei-Faktor-Authentifizierung (TOTP). Die Organisation kann sie für das gesamte Team verlangen und eine maximale Inaktivitätsdauer festlegen.
Sensible Aktionen (das Ändern des Auszahlungskontos oder der Identitätsdaten für Auszahlungen) erfordern eine erneute Authentifizierung.
Rollen pro Teammitglied und erlaubte Domains für Einladungen.

Isolierung zwischen Organisationen

Jede Abfrage auf Daten einer Organisation läuft in einem Kontext, der festlegt, für welche Organisation sie arbeitet, und eine automatische Prüfung in der CI verhindert, dass eine Abfrage außerhalb dieses Kontexts hinzugefügt wird. Öffentliche Links (Angebot, Rechnung, mobile Erfassung) ermitteln die Organisation über ein Token und fragen danach im selben Kontext ab: Das Token gewährt nie allein Zugriff.

API

Schlüssel werden nur einmal angezeigt und als Hash gespeichert.
Drei Arten: geheime, pro Ressource eingeschränkte und öffentliche Schlüssel. Geheime und eingeschränkte Schlüssel akzeptieren eine Liste erlaubter IPs, können ablaufen und werden mit einer Übergangsfrist rotiert.
Ein geheimer Schlüssel, der aus einem Browser kommt, wird abgelehnt. Öffentliche Schlüssel können nur eine feste Liste von Routen nutzen und im Live-Modus nur von den Domains aus, die Sie registriert haben.
Anfragelimits pro Schlüssel und pro IP sowie Idempotency-Key, um ohne Duplikate erneut zu versuchen.

Webhooks

Jede Benachrichtigung wird mit HMAC-SHA256 über den Body und einen Zeitstempel signiert (X-Cord-Signature-V1), damit Ihr Server veränderte oder wiederholte Benachrichtigungen ablehnen kann. Die SDKs prüfen Signatur und Alter für Sie.
Cord stellt nur an https://-URLs auf öffentlichen Hosts zu, nie an interne Adressen.

Eingebettetes Angebot (Cord Elements)

Das Angebot läuft in einem iframe von Cord mit eigenem Ursprung: Ihre Seite kann es weder lesen noch verändern, und Cord kann Ihre Seite nicht lesen.
Nur die Domains, die Sie registrieren, dürfen es einbetten. Ohne registrierte Domains wird es schreibgeschützt angezeigt, ohne Bestätigen, Signieren oder Bezahlen und ohne Daten an die einbettende Seite zu senden.
Eigene Stile durchlaufen einen Validator mit geschlossenen Listen: Er lässt weder externe URLs noch Regeln zu, die Inhalte ausblenden oder überdecken.

Zahlungen

Kartendaten werden vom Formular des Zahlungsdienstleisters auf dessen eigener Domain erfasst. Cord erhält oder speichert die Kartennummer nie.

Identitätsprüfung für Auszahlungen

Ausweisfotos werden vor dem Senden auf dem Gerät geprüft, und ihre Metadaten (einschließlich GPS-Standort) werden entfernt; nur die Ausrichtung bleibt erhalten.
Der Link, um das Foto mit dem Telefon aufzunehmen, wird an das erste Gerät gebunden, das ihn verwendet, hat eine Obergrenze für Versuche und wird nie in der Analyse erfasst.

Audit-Log

Das Erstellen, Bearbeiten, Rotieren und Widerrufen von Schlüsseln, Sicherheitsänderungen der Organisation, Zahlungen und weitere sensible Aktionen werden mit Person, Zeitpunkt, IP und Browser festgehalten. Administratoren sehen das Log unter Einstellungen › Erweitert › Audit-Log.

Aufbewahrung

Daten	Wie lange sie aufbewahrt werden
Zustellverlauf von Webhooks	30 Tage (fehlgeschlagene 90)
Sitzungen zur Identitätserfassung per Telefon	Werden eine Stunde nach dem Schließen gelöscht
Nachweise der Identitätsprüfung für Auszahlungen	5 Jahre ab der Übermittlung

Sie können die Daten Ihrer Organisation jederzeit in den Einstellungen exportieren und Ihr Konto löschen.

Eine Schwachstelle melden

Schreiben Sie an security@flouvia.com. Umfang, Zusagen und Safe Harbor finden Sie unter Schwachstellen melden; der Kontakt steht auch in /.well-known/security.txt.