Plattformsicherheit

Sensible Vorgänge nutzen etablierte Anbieter, Zugangsentscheidungen erfolgen serverseitig und private Kursquellen liegen außerhalb öffentlicher Webordner. Kein Onlinedienst ist risikofrei, aber mehrschichtige Kontrollen verringern die Gefährdung.

• Stripe verarbeitet Kartendaten, Belege, Erstattungen und Betrugsprüfungen; NextPrep Academy speichert keine vollständigen Kartennummern oder CVCs.
• Checkout beginnt in einer authentifizierten Sitzung und Zahlungsereignisse werden über signierte Stripe-Webhooks abgeglichen.
• Firebase unterstützt Passwort und OAuth. Die Anwendungssitzung nutzt httpOnly-Cookies, serverseitig gehashte Token, automatischen Ablauf und gegebenenfalls E-Mail-Verifizierung.

• Private Kursquellen liegen außerhalb des öffentlichen Verzeichnisses; authentifizierte APIs prüfen Sitzung und Berechtigung vor der Seitenausgabe.
• Produktionsdaten nutzen konfigurierte Firebase- und Google-Cloud-Dienste; privilegierte Firebase-Admin-Vorgänge bleiben serverseitig.
• Sensible Antworten nutzen gegebenenfalls private no-store-Caches, Änderungen prüfen den Ursprung und missbrauchsgefährdete Funktionen begrenzen Größe und Rate.

• Webhook-Idempotenz reduziert doppelte Zahlungseffekte, Geheimnisse gehören in Umgebungsvariablen und Protokolle bleiben auf Dienst- und Vorfallbedarf begrenzt.
• Nutze ein eindeutiges Passwort, sichere E-Mail und OAuth, teile weder Konto noch private Inhalte und melde verdächtige Aktivität oder unerwartete Abbuchungen sofort.

Diese Kontrollen garantieren keinen unterbrechungsfreien, schwachstellenfreien oder gegen unbefugten Zugriff immunen Dienst. Verantwortliche Meldungen sollten genug Details enthalten, ohne auf Daten anderer Nutzer zuzugreifen.

Um ein Sicherheitsproblem zu melden, kontaktiere support@nextprep.academy.