Sicherheit
Ein FirstReply-Konto kann jede Konversation in seinen Workspaces lesen, und dazu gehört alles, was Kunden hineinschreiben. Ein paar Minuten Schutz lohnen sich.
Zwei-Faktor-Authentifizierung
Aktivieren Sie sie unter Profil → Zwei-Faktor-Authentifizierung.
- Scannen Sie den QR-Code mit einer Authenticator-App — 1Password, Authy, Google Authenticator oder Ihrem Passwortmanager.
- Geben Sie den sechsstelligen Code ein, um zu bestätigen, dass die App richtig eingerichtet ist.
- Speichern Sie die Wiederherstellungscodes. Legen Sie sie dort ab, wo Sie andere Zugangsdaten aufbewahren, nicht in derselben Authenticator-App.
Danach fragt die Anmeldung nach dem Passwort nach einem Code aus der App.
Wiederherstellungscodes
Wiederherstellungscodes sind der Weg zurück, wenn Sie das Gerät mit der Authenticator-App verlieren. Jeder funktioniert einmal.
Sie werden einmal angezeigt, beim Aktivieren, und lassen sich nicht erneut anzeigen — nur neu erzeugen, was die alten ungültig macht. Speichern Sie sie in dem Moment, in dem sie erscheinen.
Ohne Wiederherstellungscode und ohne Authenticator-App lässt sich das Konto nur über den Support wiederherstellen, und das ist bewusst ein langsamer Weg.
Abschalten
Das Abschalten braucht Ihr Passwort und einen aktuellen Code. Es macht die Wiederherstellungscodes ungültig, ein späteres Wiedereinschalten liefert also einen frischen Satz.
Sitzungen
Eine Anmeldung erzeugt eine Sitzung, die während der Nutzung erneuert wird. Das Abmelden entzieht sie auf dem Server, nicht nur im Browser.
Ein Passwortwechsel meldet Ihre anderen Sitzungen ab, was die schnellste Reaktion ist, wenn Sie eine Sitzung für kompromittiert halten.
Wie Zugangsdaten gespeichert werden
Ihr Passwort wird mit bcrypt gehasht. Es wird nie in umkehrbarer Form gespeichert oder protokolliert.
Kanal-Zugangsdaten — Postfachpasswörter, OAuth-Token, private App-Store-Schlüssel — werden vor dem Speichern verschlüsselt. Einmal gespeichert, wird ein Geheimnis nie an den Browser zurückgeschickt: beim Bearbeiten eines Posteingangs bleibt das Passwortfeld leer, statt vorbelegt zu sein.
API-Schlüssel werden als Hash gespeichert. Das Geheimnis wird einmal beim Anlegen angezeigt und nie wieder, weshalb ein verlorener Schlüssel bedeutet, einen neuen anzulegen statt ihn nachzuschlagen.
Website-Chat
Der Widget-Schlüssel des Website-Chats ist bewusst öffentlich: er steht im Quelltext Ihrer Seite. Er sagt, zu welchem Workspace das Widget gehört, und kann sonst nichts.
Die Domain-Liste verhindert, dass der Schlüssel von einer fremden Seite aus benutzt wird. Setzen Sie sie, bevor Sie live gehen.
Jede Chat-Konversation trägt ein eigenes signiertes Token, sodass die Sitzung eines Besuchers nicht die eines anderen erreicht.
Für Workspace-Administratoren
Prüfen Sie die Mitglieder vierteljährlich. Entfernen Sie, wer gegangen ist. Das ist die häufigste Lücke.
Prüfen Sie die API-Schlüssel. Die Liste zeigt, wann jeder zuletzt benutzt wurde; löschen Sie die, die nichts benutzt.
Halten Sie den Kreis der Administratoren klein. Zwei ist meist die richtige Zahl.
Geben Sie jeder Integration einen eigenen API-Schlüssel, damit einer widerrufen werden kann, ohne die anderen zu unterbrechen.