Sicherheit: was wir gegen Phishing per QR-Code tun
Ein dynamischer QR-Code ist eine Weiterleitung. Wie jeder Link-Verkürzer kann er missbraucht werden, um Menschen auf eine betrügerische Website zu schicken. Hier steht genau, was Scanolo dagegen tut und was wir nicht garantieren können.
Prüfung der Ziele
Jede Zieladresse wird bei der Erstellung des Codes, bei jeder Änderung und danach regelmäßig analysiert, solange der Code aktiv ist. Die Analyse kombiniert lokale Regeln mit dem Abgleich gegen Listen bösartiger Websites.
- Adressen als reine IP, Domains mit irreführenden Zeichen (Punycode), verkettete Link-Verkürzer, ungewöhnliche Ports: als zweifelhaft eingestuft
- Anmelde-Schlüsselwörter (Login, Passwort, Bank) auf einer unbekannten Domain: als zweifelhaft eingestuft
- Domain auf Listen bösartiger Websites: gesperrt
- Nur http und https werden als Ziele akzeptiert
Was die scannende Person sieht
Ein geprüfter Link leitet sofort weiter. Ein zweifelhafter Link zeigt eine Zwischenseite, die die Ziel-Domain nennt und die Wahl lässt, fortzufahren. Ein gesperrter Link zeigt eine Warnseite ohne klickbaren Link. In allen Fällen gibt es einen Button, um den Code zu melden.
Was wir nicht speichern
Scans werden ohne Cookie und ohne personenbezogene Kennung gezählt. Die IP-Adresse dient dazu, einen Zähler eindeutiger Besucher pro Tag als nicht umkehrbaren Fingerabdruck zu berechnen, und wird danach nicht im Klartext gespeichert.
Kontosicherheit
Passwörter mit Argon2 gehasht, serverseitig verschlüsselte Sitzungen, Liste der aktiven Sitzungen mit Widerrufsmöglichkeit, E-Mail-Bestätigung für die Kontolöschung, API-Schlüssel werden nur einmal angezeigt und gehasht gespeichert.
Grenzen
Keine automatische Prüfung ist perfekt. Eine zum Zeitpunkt der Kontrolle unbedenkliche Website kann später bösartig werden; deshalb wiederholen sich die Kontrollen, und deshalb gibt es die öffentliche Meldefunktion. Wir garantieren nicht die vollständige Abwesenheit von Missbrauch, wir garantieren, schnell zu handeln, sobald er erkannt oder gemeldet wird.