🏠 Zuhause
Hoffnung schaffen
Hilf mit, dass jede Familie ein Zuhause hat — finanziert über OseloHelp.com, unsere steuerbefreite gemeinnützige Organisation.
Sicherheit und Ihre Daten
Wie TimTim.Live Partner, Käufer und ihre Daten schützt. Alles auf dieser Seite beschreibt, wie es heute funktioniert.
Schlüssel und Anmeldung
- Wir zeigen einen geheimen Schlüssel nur einmal. Wir behalten nur eine unlesbar gemachte Kopie (einen SHA-256-Hash), sodass nicht einmal wir ihn lesen können.
- Testschlüssel und Live-Schlüssel sind getrennt. Testschlüssel sehen nur Beispiel-Events und berühren nie echtes Geld.
- Ein Website-Schlüssel funktioniert nur auf den Websites, die Sie für ihn eintragen.
- Sie melden sich mit einem Einmal-Link an, der an Ihre E-Mail geschickt wird. Es gibt kein Partner-Passwort, das man stehlen könnte.
- Jede Person in Ihrem Team hat ihre eigene Anmeldung und nur den Zugang, den ihre Aufgabe braucht.
Zusätzliche Schlösser für große Partner
- OAuth 2.0: Tauschen Sie Ihre Client-ID und Ihr Secret gegen ein Token, das eine Stunde gilt.
- Schloss für Serveradressen: Ein Schlüssel funktioniert nur von den Servern aus, die Sie eintragen.
- Schloss für Zertifikate (mTLS) auf api.timtim.live: Ein Schlüssel funktioniert nur mit Ihrem eigenen TLS-Zertifikat.
Daten unterwegs
- Jede Adresse von TimTim.Live nutzt HTTPS. Browser bekommen die Anweisung, bei uns nie einfaches HTTP zu nutzen.
Nachrichten, die wir Ihnen senden
- Jeder Webhook ist mit HMAC-SHA256 und der Sendezeit signiert. Lehnen Sie alles ab, was älter als fünf Minuten ist.
- Ihre Webhook-Secrets werden verschlüsselt gespeichert (AES-256-GCM).
- Wir senden nie Nachrichten an private oder interne Netzwerkadressen, und wir folgen nie Weiterleitungen.
Käufer und Zahlungen
- Wir geben Partnern nie den Namen, die E-Mail, die Adresse, die Telefonnummer oder die Kartendaten eines Käufers.
- Kartenzahlungen laufen auf der eigenen sicheren Bezahlseite von Stripe. Kartennummern erreichen nie die Server von TimTim.Live.
- Kauflinks sind signiert. So kann niemand einen Link fälschen, um sich Ihren Verdienst zu nehmen.
Wo die Daten liegen
- Unsere Server stehen in den USA, in Ashburn, Virginia (Oracle Cloud).
- Diese Dienste verarbeiten Daten für uns: Stripe (Zahlungen), Cloudflare (Netzwerkschutz), Oracle Cloud (Server) und Resend (E-Mail).
Wie lange wir Dinge behalten
- Verlauf der Webhook-Zustellungen: 30 Tage.
- Beendete OAuth-Tokens: einen Tag, dann gelöscht.
- Statusprüfungen: 90 Tage.
- Die API-Nutzung wird pro Tag gezählt. In diesen Zählungen speichern wir nie Ihre Schlüssel oder das, was Sie senden.
Wir achten auf Probleme
- Wir prüfen jeden öffentlichen Teil jede Minute aus dem Internet. Die Ergebnisse sehen Sie auf unserer Statusseite.
- Unser Team bekommt eine Warnung, wenn die Seite nicht mehr antwortet.
- Partner freigeben und Geld senden kann nur ein namentlich bekanntes Teammitglied mit dieser Berechtigung. Dafür gibt es kein gemeinsames Passwort.
Was wir noch nicht haben
- Wir haben noch keinen SOC 2-Bericht und kein ISO 27001-Zertifikat.
- Noch keine externe Firma hat unsere Sicherheit getestet (ein Penetrationstest).
- Wir haben kein bezahltes Bug-Bounty-Programm.
- Wir aktualisieren diese Seite, wenn sich daran etwas ändert.
Wenn etwas schiefgeht
- Wenn ein Schlüssel vielleicht nach außen gelangt ist, schalten Sie ihn in Ihrem Dashboard aus. Er hört sofort auf zu funktionieren. Erstellen Sie dann einen neuen.
- Ein Sicherheitsproblem gefunden? Schreiben Sie an [email protected]. Ein echter Mensch liest jede Meldung.
- Bitte testen Sie nicht mit den Daten anderer Menschen, und geben Sie uns Zeit, ein Problem zu beheben, bevor Sie es teilen.
