Sicherheit

WheelOfSpins schützt Ihre Räder und Ihre Kontosicherheit mit HTTPS-Verschlüsselung, strengen Sicherheits-Headern, signierten Sitzungstoken, auf den Eigentümer beschränktem Datenzugriff und kryptografischem Zufall, der direkt in Ihrem Browser berechnet wird.

HTTPS-Verschlüsselung und Sicherheits-Header

Alle Seiten und Anfragen werden über HTTPS mit moderner TLS-Verschlüsselung ausgeliefert, und HTTP Strict Transport Security (HSTS) weist Browser an, immer die sichere Verbindung zu nutzen. Zusätzlich sendet die Website eine Content Security Policy, X-Frame-Options gegen Clickjacking, X-Content-Type-Options gegen Content-Sniffing, eine strenge Referrer-Policy und eine Permissions-Policy, die den Zugriff auf Kamera, Mikrofon und Standort deaktiviert.

  • HTTPS überall mit HSTS
  • Content Security Policy und Schutz vor Clickjacking
  • Zugriff auf Kamera, Mikrofon und Standort deaktiviert

Kryptografischer Zufall in Ihrem Browser

Jedes Ergebnis wird in Ihrem Browser mit der Web Crypto API (crypto.getRandomValues) ermittelt, die kryptografisch sichere Zufallszahlen liefert. Unterstützt ein sehr alter Browser Web Crypto ausnahmsweise nicht, greift das Rad auf die Standard-Zufallsfunktion des Browsers zurück, damit es weiter funktioniert. Ergebnisse werden nie auf unseren Servern festgelegt, und nur die Gewichtungen, die Sie selbst festlegen, verändern die Chancen.

  • Zufallsauswahl mit der Web Crypto API
  • Ergebnisse werden auf Ihrem Gerät berechnet
  • Chancen ändern sich nur durch Ihre Gewichtungen

Kontosicherheit und Zugriffskontrolle

Passwörter werden ausschließlich als bcrypt-Hashes gespeichert, niemals im Klartext. Nach der Anmeldung wird Ihre Sitzung über signierte JSON Web Tokens in HTTP-only-Cookies gehalten, die Skripte auf der Seite nicht auslesen können. Jede Anfrage nach gespeicherten Rädern wird mit Ihrem Konto abgeglichen, sodass Sie nur Ihre eigenen Räder sehen oder ändern können, und öffentliche Freigabelinks zeigen nur die Räder, die Sie veröffentlichen.

  • Passwörter als bcrypt-Hashes gespeichert
  • HTTP-only-Sitzungscookies
  • Gespeicherte Räder nur für den Eigentümer

Sicherheitslücken melden

Wir freuen uns über Meldungen von Sicherheitsforschenden und Nutzern. Wenn Sie eine Sicherheitslücke finden, senden Sie uns die Details bitte über unsere Kontaktseite, einschließlich der betroffenen URL, der Schritte zur Reproduktion und der möglichen Auswirkungen. Bitte geben Sie uns angemessen Zeit, das Problem zu untersuchen und zu beheben, bevor Sie es öffentlich machen.

  • Meldung über die Kontaktseite
  • Schritte zur Reproduktion angeben
  • Verantwortungsvolle Offenlegung erwünscht

Häufig gestellte Fragen

Wie sorgt WheelOfSpins für faire Drehungen?

Ergebnisse werden in Ihrem eigenen Browser mit der Web Crypto API ermittelt, daher können unsere Server sie nicht verändern. Die Chancen lassen sich nur ändern, indem Sie selbst Gewichtungen festlegen.

Können andere Nutzer meine gespeicherten Räder sehen?

Nein. Gespeicherte Räder sind mit Ihrem Konto verknüpft, und jede Anfrage wird geprüft. Andere Personen können nur Räder öffnen, die Sie über einen öffentlichen Link teilen.

Wie melde ich eine Sicherheitslücke?

Nutzen Sie das Formular auf unserer Kontaktseite und geben Sie die betroffene URL, die Schritte zur Reproduktion und die beobachteten Auswirkungen an. Wir prüfen jede gültige Meldung.