Wie Daylit sich absichert: ein wöchentlicher Test und Security Watch

Daylit testet sich selbst. Jede Woche schauen wir uns alle unsere öffentlichen Adressen so an, wie es ein Außenstehender tun würde. Jede Stunde gleichen wir die Software in jedem Container mit den offiziellen Schwachstellenlisten ab. Was wir finden, sehen wir in unserer Verwaltung; was dringend ist, erreicht uns sofort per Mail.

Der wöchentliche Sicherheitstest

Jede Woche testet die Plattform selbst jede Adresse, die Daylit ausliefert: unsere eigenen Websites und die unserer Kunden. Behutsam, eine Anfrage nach der anderen, nie mit Anmeldung, nie mit Passwortraten. Pro Adresse:

• Verschlüsselung: Das Zertifikat ist gültig und läuft nicht bald ab; alte Protokolle (TLS 1.0 und 1.1) werden abgelehnt; http leitet auf https weiter.
• Sicherheits-Header: HSTS, nosniff, Referrer-Policy und Schutz vor Clickjacking.
• Was privat bleiben muss: kein offenes .git, .env, keine wp-config-Backups, Debug-Logs, phpinfo oder Verzeichnislisten.
• WordPress: keine Benutzernamen für Fremde, xmlrpc geschlossen, keine Version in der Seite.
• Der Router: nur die Ports, die wir bewusst geöffnet haben.

Jeder Fund bekommt eine Stufe: hoch (sofort beheben), mittel oder niedrig. Neue Funde ab mittel erreichen uns sofort per Mail.

Daylit Security Watch

Jede Stunde vergleicht Security Watch die Software in jedem Container mit drei offiziellen Quellen:

• dem Debian Security Tracker: jede bekannte Schwachstelle pro Paket, mit der Version, die sie behebt;
• der Liste von CISA mit Schwachstellen, die gerade aktiv ausgenutzt werden;
• den Sicherheitshinweisen des niederländischen NCSC.

Pro Container machen wir zuerst eine Bestandsaufnahme: das Betriebssystem, jedes Paket und seine Version, PHP, WordPress und seine Plugins. Ein Paket, das hinter der korrigierten Version liegt, ist ein Fund; eines auf der Liste aktiver Ausnutzung ist kritisch.

Daylit installiert Sicherheitsupdates selbst, nach Schweregrad: eine Lücke, die aktiv ausgenutzt wird, innerhalb einer Stunde, den Rest nachts. Immer zuerst auf Test, mit einem Snapshot vorher und einer Prüfung danach; wird die Website schlechter, geht es zurück zum Snapshot. Neue Versionen deiner eigenen Website gehen durch die Release-Pipeline und bleiben dein Button.

Was wir gefunden und geschlossen haben, ohne Namen: mijn.daylit.nl/veiligheid.

Was wir sonst noch tun

• Ein Container pro Website: Eine Lücke in einer Website erreicht keine andere.
• Zwei-Schritt-Verifizierung (Passkey oder App) für Mein Daylit, für Admins immer Pflicht; Live gehen, Zurückgehen und das Akzeptieren von Schlüsseln verlangen jedes Mal deinen Passkey.
• Tägliche Backups und ein Snapshot vor jedem Update.
• Ein Audit-Log, das sich nicht unbemerkt ändern lässt: wer was wann gemacht hat.
• Keine Geheimnisse in Paketen oder Nachrichten: Schlüssel und Passwörter liegen nur in der Umgebung, die sie braucht.

Ehrlich

Ein automatischer Test findet nicht alles, und wir haben (noch) keine Zertifizierung wie ISO 27001. Wir bauen aber nach diesen Standards und schreiben auf, was wir tun. Siehst du etwas, das nicht stimmt? Schreib uns eine Mail: Wir reagieren schnell und nennen dich gern, wenn du willst.