Sicherheitsrichtlinie

Unser Sicherheitsversprechen: vor allem nicht schaden

Ärzte folgen einer alten Regel: primum non nocere, vor allem nicht schaden. An diese Regel halten wir uns auch bei unseren Modulen.

Wenn Sie ein PrestaShop-Modul installieren, geben Sie seinem Code dieselben Befugnisse in Ihrem Shop wie Ihren eigenen Mitarbeitern. Er wird auf Ihren Seiten ausgeführt, liest und ändert Ihre Datenbank und verarbeitet Ihre Bestellungen und die Daten Ihrer Kunden. Wir entwickeln seit 2013 PrestaShop-Module und vergessen nie, wie viel Vertrauen Sie uns damit entgegenbringen. Unsere erste Pflicht ist es, Ihrem Shop nicht zu schaden. Unsere zweite ist es, ihn zu verbessern.

Was „nicht schaden“ in der Praxis bedeutet

Vor der Auslieferung getestet: Wir installieren jede Version auf einem neu eingerichteten Shop, bevor wir sie veröffentlichen.
Sichere Updates: Module Updates & Remote Assist prüft jeden Download vor der Installation, sichert zuerst die aktuelle Version und macht eine unterbrochene Installation oder Aktualisierung automatisch rückgängig.
Keine Hintertüren: Keine Hintertüren, kein verschleierter Code, keine versteckte Datenerhebung und keine ausgehende Verbindung ohne dokumentierten Zweck (Abschnitt 1).

Ihre Privatsphäre und die Ihrer Kunden

Die personenbezogenen Daten Ihrer Kunden bleiben in Ihrem Shop: Unsere Module senden uns keine Namen, Adressen, Bestellungen oder Zahlungsdaten (Abschnitt 2).
Daten verlassen Ihren Shop nur, wenn Sie es so bestimmen: Personenbezogene Daten werden nur an Dienste übertragen, die Sie selbst anbinden, etwa an einen Versanddienstleister oder Zahlungsanbieter (Abschnitt 8).
Wenn Sie uns um Hilfe bitten: Wir arbeiten nur mit dem, was für Ihre Anfrage nötig ist. Shop-Zugänge, Protokolle und Zugangsdaten werden von einer Person oder auf unseren eigenen Rechnern bearbeitet, niemals von KI in der Cloud (siehe Wie wir KI einsetzen).
Ihre eigenen Daten: Welche Daten wir über Sie als unseren Kunden speichern und warum, erfahren Sie in unserer Datenschutzrichtlinie.

Sie entscheiden, wer Zugang erhält

Sie genehmigen jede Zugangsfreigabe für den Support in Ihrem eigenen Back Office, wählen den Umfang unseres Zugriffs und können ihn jederzeit beenden. Sie müssen uns niemals ein Passwort mitteilen (Abschnitt 4).

Sicherheitslücken werden behoben, bei kostenpflichtigen und kostenlosen Modulen

Wird in einem unserer Module eine Sicherheitslücke entdeckt, ob kostenpflichtig oder kostenlos, bemühen wir uns, sie zu beheben und gefährdete Shops zu warnen. Melden Sie sie an security@mypresta.rocks (Abschnitt 7).

Wir entwickeln auch Sicherheitslösungen

Security Revolution: Firewall, Begrenzung der Anfragerate, Einblick in Sitzungen und Zwei-Faktor-Anmeldung im Back Office, für PrestaShop 1.6 bis 9.
Sicherheitsscan: prüft Ihren Shop, Ihre Module und Ihren Server und meldet anschließend jede Schwachstelle mit einer Punktzahl und genauen Schritten zur Behebung.

Wenn wir diesem Versprechen einmal nicht gerecht werden, teilen Sie uns das unter security@mypresta.rocks mit. Wir behandeln jede Meldung als dringend.

1. Modul-Sicherheitsstandards

Alle Module folgen diesen Praktiken:

Eingabevalidierung: Alle Benutzereingaben werden validiert und bereinigt, um SQL-Injection, XSS und andere Angriffsvektoren zu verhindern.
PrestaShop-Sicherheitsframework: Wir nutzen die integrierten Sicherheitsfunktionen von PrestaShop -- pSQL(), Validate-Klassenmethoden, CSRF-Token-Verifizierung und korrektes Escaping.
Keine externen Aufrufe ohne Zweck: Module führen keine unautorisierten externen HTTP-Anfragen durch. Alle ausgehenden Verbindungen (Installationsberichte kostenloser Module, Lizenzverifizierung, Update-Checks) sind dokumentiert und dienen einem bestimmten Zweck.
Keine Hintertüren: Keine versteckten Zugangspunkte, kein verschleierter Code, keine undokumentierte Datenerhebung.
Minimale Berechtigungen: Module fordern nur die Datenbanktabellen, Hooks und Berechtigungen an, die sie brauchen.
Aktive Pflege: Wir bemühen uns, für jedes bestätigte Sicherheitsproblem in unseren kostenpflichtigen oder kostenlosen Modulen eine Korrektur zu veröffentlichen.

2. Daten, die unsere Module nicht an uns senden

Unsere Module senden keine personenbezogenen Daten Ihrer Kunden an uns. Optionale Diagnosen senden ausschließlich technische Daten. Unsere Module übermitteln uns keine der folgenden Kundendaten aus Ihrem Shop:

Persönliche Kundendaten (Namen, E-Mails, Telefonnummern, Adressen)
Zahlungsinformationen (Kreditkartennummern, Bankdaten, Transaktionsaufzeichnungen)
Kundenpasswörter oder Authentifizierungsdaten
Bestellinhalte oder Kaufhistorie einzelner Kunden
Alle Daten, die nach DSGVO, CCPA oder vergleichbaren Vorschriften als personenbezogene Daten gelten

3. Daten, auf die wir zugreifen KÖNNEN

Wenn Sie Support anfordern, verarbeiten wir die von Ihnen bereitgestellten Daten, etwa Zugangsdaten, Protokolle und Screenshots, ausschließlich zur Bearbeitung dieser Anfrage und mit Ihrer Einwilligung. Wir können auch auf relevante technische Konfigurationsdaten zugreifen, darunter:

PrestaShop-Version und PHP-Version
Modulliste und Versionsnummern
Theme-Name und Konfiguration
Serverumgebungsdetails (Webserver-Typ, MySQL-Version, Speicherlimits)
Shop-Einstellungen, die für die Modulfunktionalität relevant sind (Multistore-Konfiguration, Währung, Spracheinstellungen)
Modulspezifische Konfigurationswerte
Fehlerprotokolle und Debug-Ausgaben im Zusammenhang mit dem Modulbetrieb
Datenbanktabellenstruktur (Schema) unserer Module -- nicht die Daten in Kunden-/Bestelltabellen

Diese Informationen werden zur Diagnose von Problemen, zur Supportleistung und zur Sicherstellung der Kompatibilität verwendet. Sie werden nicht an Dritte weitergegeben, nicht für Marketing genutzt und nicht über die Support-Interaktion hinaus aufbewahrt, es sei denn für die laufende Fallbearbeitung.

4. Fernzugriff und Support-Sitzungen

Am sichersten gewähren Sie uns Zugang mit Module Updates & Remote Assist: Sie genehmigen jede Zugangsfreigabe in Ihrem Back Office, wählen zwischen „Nur ansehen“, „Einstellungen korrigieren“ und „Volle Kontrolle“ und können den Zugang jederzeit beenden. Zugangsfreigaben laufen ab, wenn Sie sie nicht verlängern. Wir melden uns über einen signierten Link zur einmaligen Verwendung an, sodass Sie uns niemals ein Passwort mitteilen müssen, und jede Aktion erscheint in Ihrer Aktivitätsliste.

Wenn Sie uns stattdessen Zugangsdaten mitteilen, zum Beispiel weil Ihr Back Office nicht erreichbar ist:

Der Zugang wird ausschließlich für den genannten Support-Zweck genutzt
Wir empfehlen, ein dediziertes temporäres Mitarbeiterkonto mit eingeschränkten Rechten anzulegen
Wir empfehlen, den Zugang nach der Sitzung zu widerrufen (Konto löschen oder Zugangsdaten ändern)
Wir bewahren Ihre Zugangsdaten nach der Sitzung nicht auf
Wir greifen nicht auf Bereiche Ihres Shops zu, die nichts mit der Support-Anfrage zu tun haben
Alle während der Sitzung vorgenommenen Änderungen werden Ihnen mitgeteilt

5. Demo- und Testumgebungen

Für unsere On-Demand-Demo-Shops (mypresta.rocks/demos):

Demo-Umgebungen sind isoliert und temporär
Keine echten Kundendaten in Demo-Shops
Demo-Shops können zur Missbrauchsprävention überwacht werden
In Demo-Shops eingegebene Daten werden nicht gesichert und können jederzeit gelöscht werden
Siehe unsere On-Demand-Demo-Shop-Bedingungen für alle Details

6. Lizenzverifizierung

Installationsberichte kostenloser Module, Teststart, Aktivierung und Lizenzprüfung senden die erforderlichen technischen Daten an unseren Server, darunter:

Die konfigurierte Shopdomain sowie Shop- und Installationskennungen
Modul- und Releasekennungen, Versionen und Integritätsprüfsummen; PrestaShop- und PHP-Versionen
Nur bei Aktivierung oder Prüfung: Aktivierungs- oder Prüfkennungen und Authentifizierungsnachweise; der Lizenzschlüssel wird zur Schlüsselaktivierung verwendet, nicht bei jeder Hintergrundprüfung übertragen

Kostenlose Module melden ihre Installation, ohne den Modulbetrieb zu blockieren oder zu beschränken. Diese Daten dienen Installationsmeldungen sowie Test-, Lizenz-, Versionsintegritäts- und Updateprüfungen, nicht der Erhebung personenbezogener Kundendaten. Die vollständigen Regeln finden Sie unter Lizenzierung und Support.

7. Schwachstellenmeldung

Wenn Sie eine Sicherheitsschwachstelle in einem unserer Module entdecken, melden Sie sie bitte an security@mypresta.rocks. Wir werden:

Uns bemühen, den Eingang innerhalb von 24 Stunden zu bestätigen
Die Schwachstelle untersuchen und die Schwere bewerten
Uns bemühen, für jedes bestätigte Sicherheitsproblem in unseren kostenpflichtigen oder kostenlosen Modulen eine Korrektur zu entwickeln und zu veröffentlichen
Betroffene Kunden benachrichtigen, wenn die Schwachstelle ein erhebliches Risiko darstellt

Wir schätzen verantwortungsvolle Offenlegung und bitten Sie, Schwachstellendetails nicht öffentlich zu teilen, bis ein Fix verfügbar ist.

8. Drittanbieter-Dienste

Unsere Module integrieren keine Analyse-, Tracking- oder Werbedienste Dritter, sofern nicht in der Modulbeschreibung angegeben. Wenn ein Modul einen externen Dienst integriert (Versanddienstleister-API, Payment Gateway), ist das dokumentiert und erfordert Ihre explizite Konfiguration.

9. Ihre Verantwortlichkeiten

Halten Sie Ihre PrestaShop-Installation und alle Module aktuell
Verwenden Sie starke Passwörter für alle Back-Office-Konten
Erstellen Sie regelmäßig Backups
Prüfen und konfigurieren Sie Moduleinstellungen passend für Ihre Umgebung
Wir empfehlen Ihnen dringend, Module zuerst auf einer Staging-Kopie Ihres Shops zu testen, bevor Sie sie im Live-Shop einsetzen
Widerrufen Sie jeden temporären Zugang, der für den Support gewährt wurde

10. Kontakt

Sicherheitsbezogene Fragen: security@mypresta.rocks.

Sicherheitsrichtlinie