Datenfluss bei Tests
Ein kontrollierter Test beginnt mit einer Testlauf- und Versuchsidentität in der Datenbank. Umfangreiche Prozessartefakte sind für einen privaten Objektspeicher vorgesehen; PostgreSQL speichert Status, kompakte Ergebnisse, Veröffentlichungsfakten, Audit-Protokolle und die Manifest-Metadaten der Artefakte.
Rohe Anfragen, Antworten, Traces, Protokolle, Screenshots und Anhänge sind keine öffentlichen Verzeichnisdaten. Öffentliche Seiten lesen ausschließlich geprüfte, bereinigte und versionierte Snapshots.
Zugangsdaten und Testziele
Zugangsdaten von Relays müssen als geschützte Secret-Referenzen hinterlegt sein und dürfen nur autorisierten Server- oder Worker-Prozessen zur Verfügung stehen. Browser erhalten keine Secrets von Relays, keine PostgreSQL-Zugangsdaten und keine Zugangsdaten für den Objektspeicher.
Testziele unterliegen Beschränkungen hinsichtlich Protokoll, Port, DNS, Weiterleitungen, Antwortgröße, Zeitüberschreitungen und privater Netzwerke. Folkbench darf nicht zu einem beliebigen Netzwerk-Proxy werden.
Konten und Sitzungen
Sofern aktiviert, erhalten Nutzer nach Abschluss des Ablaufs bei einem konfigurierten Identitätsanbieter eine von Folkbench ausgestellte Sitzung. Sitzungs-Cookies werden serverseitig ausgestellt und geschützt; Zugriffstoken des Identitätsanbieters werden nicht als Zugangsdaten der Anwendung gespeichert. Die Rollen für Betreiber und das Folkbench-Team bleiben von der gewöhnlichen Authentifizierung getrennt.
Optionale Analysen
Folkbench aktiviert standardmäßig eine begrenzte, eigene Produktanalyse, um die Nutzung von Funktionen zu verstehen, Probleme zu diagnostizieren und den Dienst zu verbessern; sie wird nicht für website- oder plattformübergreifende Profilbildung verwendet. Das Ereignisschema schließt Suchtexte, E-Mail-Adressen, vollständige URLs, IP-Adressen, Sitzungsaufzeichnungen und automatische Klickerfassung aus. Ist die externe Übermittlung aktiviert, können dieselben Felder an PostHog US Cloud gesendet werden.
Grenzen externer Dienstleister
Folkbench kann Hosting, verwaltetes PostgreSQL, privaten Objektspeicher, Identitätsanbieter, Analysedienste, E-Mail-Dienste und – nur bei gesonderter Aktivierung – Zahlungsdienstleister nutzen. Jeder Dienstleister erhält nur die für seine Funktion erforderlichen Informationen und unterliegt weiterhin seinen eigenen Bedingungen und Sicherheitspflichten. Öffentliche Seiten laden außerdem das Google-Ads-Tag AW-18459159949, um Anzeigenbesuche und Conversions zu messen.
Sicherheitsproblem melden
Nutzen Sie die Kontaktseite und kennzeichnen Sie den Betreff als „Folkbench security report“. Beschreiben Sie kurz die Auswirkungen und geben Sie sichere Schritte zur Reproduktion an. Senden Sie keine Passwörter, API-Schlüssel, privaten Rohnachweise, personenbezogenen Daten oder unmittelbar ausnutzbaren Exploit-Payloads per E-Mail.