So funktioniert Sicherheit bei Macaly
Sicherheit bei jeder Webanwendung betrifft sowohl die zugrunde liegende Plattform als auch die Person, die darauf aufbaut. Macaly kümmert sich um die Infrastrukturebene: Hosting, Verschlüsselung, die Authentifizierungsbibliothek, Edge-Schutz, isolierte Datenbanken und laufende Sicherheitsupdates. Du bleibst verantwortlich für die Anwendungsebene: welche Daten dein Projekt speichert, wer darauf zugreifen kann und wie deine Endnutzer informiert werden. Diese Aufteilung bedeutet, dass du keine Server, Zertifikate oder Authentifizierungsbibliotheken von Grund auf einrichten musst. Sie bedeutet auch, dass Entscheidungen über deine Daten und deine Nutzer bei dir bleiben, wo sie hingehören.Wenn dein Projekt personenbezogene Daten deiner Endnutzer speichert, agiert Macaly als Auftragsverarbeiter und du bleibst der Verantwortliche. Alle Details findest du in unserem DPA.
Was eingebaut ist
Hosting und Datenstandort
Veröffentlichte Projekte werden in Vercels EU-Region (Frankfurt) gehostet. Datenbanken laufen auf Convex EU West (Irland). Beide liegen hinter Vercels Edge-Netzwerk, das Inhalte von Servern näher an deinen Besuchern ausliefert und Angriffstraffic abwehrt, bevor er dein Projekt erreicht. Jedes Macaly-Projekt erhält seine eigene isolierte Datenbank, sodass Daten eines Projekts nie mit denen eines anderen vermischt werden. Du kannst auch die Region wählen, in der die KI-Modelle laufen, die der Agent zum Erstellen deiner Projekte verwendet. Wenn deine Daten in der EU bleiben müssen, kannst du Modelle auswählen, die ausschließlich in der EU gehostet werden. Die Liste der verfügbaren Modelle und der Länder, in denen sie gehostet werden, findest du unter KI-Modelle.Verschlüsselung
Daten werden bei der Übertragung und im Ruhezustand verschlüsselt:- HTTPS wird auf jedem veröffentlichten Projekt erzwungen
- Daten im Ruhezustand werden bei unseren Hosting- und Datenbankanbietern verschlüsselt
- Sensible Zugangsdaten, die intern von Macaly verwendet werden, werden vor der Speicherung verschlüsselt
Authentifizierung
Die integrierte Authentifizierung von Macaly nutzt eine branchenübliche Bibliothek, die Passwort-Hashing, Sitzungsverwaltung und Einmalcodes übernimmt. Zwei Methoden stehen zur Verfügung:- Anmeldung mit OTP für passwortlose Authentifizierung per E-Mail-Code
- Anmeldung mit E-Mail und Passwort mit Registrierung, Verifizierung und Zurücksetzungsabläufen
Ein standardmäßig sicherer Agent
Der Macaly-Agent folgt eingebauten Praktiken, die für jedes Projekt gelten. Authentifizierung, Datenbankzugriffsmuster, der Umgang mit Secrets und die Einrichtung von Integrationen folgen etablierten Standardeinstellungen, statt jedes Mal von Grund auf neu zusammengestellt zu werden. Der Agent arbeitet in einer sicheren Sandbox mit echten Entwicklungstools, sodass er dein Projekt in einer isolierten Umgebung erstellen, ausführen und testen kann. Du kannst den Agenten jederzeit auch bitten, dir zu erklären, wie ein bestimmter Teil deines Projekts geschützt ist, oder etwas an deine Bedürfnisse anzupassen. Siehe Sichere Apps erstellen für praktische Hinweise.KI-Transparenz
Macaly informiert Menschen, wenn KI im Spiel ist. Ein Hinweis über dem Prompt erklärt, dass du mit einem KI-Agenten arbeitest, und veröffentlichte Projekte tragen standardmäßig ein maschinenlesbaresai-generated-Tag in ihrem Head sowie ein Made with AI in Macaly-Badge.
Diese decken die Plattform ab. Hinweise zu deinem eigenen Projekt, etwa zu einem Chatbot, den du für deine Endnutzer erstellst, bleiben bei dir. Siehe Verantwortungsvoller Umgang mit KI, um zu erfahren, wo die Grenze verläuft.
Edge-Schutz und Updates
Vercels Edge-Netzwerk und die Plattformschutzmaßnahmen erkennen gängige Missbrauchsmuster automatisch, einschließlich DDoS-Abwehr und grundlegender Bot-Filterung. Sicherheitsrelevante Korrekturen an unserer Infrastruktur und den zugrunde liegenden Abhängigkeiten werden fortlaufend auf alle Projekte ausgerollt, sodass du Patches nicht selbst verfolgen oder anwenden musst.Schwachstellen-Scans und Sicherheitsprüfungen
Macaly prüft Projekte mit Next.js und TanStack Start auf bekannte Framework-Schwachstellen. Wird ein kritisches Problem gefunden, bleibt die Veröffentlichung blockiert, bis du auf Jetzt beheben klickst, was die Korrektur direkt an den Agenten sendet. Du kannst außerdem jederzeit eine vollständige Sicherheitsprüfung für dein Projekt durchführen. Der Tab Sicherheit in deinem Chat liest deinen Code durch, berichtet in einfacher Sprache, was er in acht Bereichen findet, von Zugriffsberechtigungen bis zu Zahlungen, und kann die Korrekturen für dich anwenden. Die erste Prüfung in jedem Chat ist kostenlos.Was in deiner Hand liegt
Wenn du ein Projekt auf Macaly veröffentlichst, gehört dir die Anwendung selbst. Ein paar Dinge bleiben naturgemäß bei dir, da sie von deinem Projekt und deinen Nutzern abhängen.Daten und Compliance
Du entscheidest, welche Daten dein Projekt sammelt und speichert. Die Einhaltung der DSGVO, des CCPA und anderer für deine Endnutzer geltender Gesetze solltest du als Teil der Entwicklung einplanen. In der Praxis bedeutet das meist:- Deine Nutzer wissen lassen, wie mit ihren Daten umgegangen wird
- Eine Datenschutzerklärung hinzufügen, wenn dein Projekt personenbezogene Daten sammelt
- Ein Cookie-Banner einbinden, wenn dein Projekt Besucher aus der EU bedient
- In der Lage sein, Nutzeranfragen zu Auskunft, Berichtigung und Löschung zu bearbeiten
Die Zugriffskontrollen deiner Anwendung
Der Agent kann Authentifizierung und rollenbasierten Zugriff erstellen und sicherstellen, dass jeder Nutzer nur seine eigenen Daten sieht. Wie das für dein Projekt eingerichtet wird und wer was sieht, ist Teil dessen, was du beschreibst. Die nächste Seite, Sichere Apps erstellen, erklärt, wie du das gut umsetzt.Backups
Macaly bietet mehrere Schutzmaßnahmen für dein Projekt und deine Daten:- Projektversionen werden gespeichert, während der Agent arbeitet. Du kannst von jeder Nachricht im Chat aus eine frühere Version wiederherstellen.
- Quellcode von git-basierten Projekten wird dauerhaft auf Seiten von Macaly gesichert.
- Datenbank-Snapshots können jederzeit als ZIP-Datei über den Tab Datenbank exportiert werden, wenn du eine eigene Kopie deiner Daten möchtest.
- GitHub-Integration (ab dem Pro-Plan) sichert den Quellcode deines Projekts in einem privaten Repository
- Chats duplizieren erstellt eine unabhängige Kopie deines Projekts als Sicherheitspunkt vor größeren Änderungen
KI-Funktionen in deiner App
Wenn dein Projekt KI-Funktionen für Endnutzer enthält, etwa Chatbots, Inhaltserstellung oder Zusammenfassungen, sind deren Konfiguration und die Ergebnisse, die sie erzeugen, Teil deines Projekts. Deine Endnutzer müssen wissen, wenn sie mit KI interagieren, und der eigene In-App-Hinweis von Macaly überträgt sich nicht auf das, was du veröffentlichst. Verantwortungsvoller Umgang mit KI beschreibt, was du wo hinzufügen solltest.Zahlungen
Macaly ist kein Zahlungsdienstleister und speichert oder überträgt keine Kartendaten. Wenn dein Projekt Zahlungen akzeptiert, nutze einen gehosteten Zahlungsanbieter, der Karten auf seiner eigenen Infrastruktur verarbeitet. Vermeide es, Kartennummern, CVCs oder andere rohe Zahlungsdaten in der Datenbank deines Projekts zu speichern.Wann Macaly die richtige Wahl ist
Macaly ist für Marketing-Websites, Landingpages, interne Tools, Dashboards, MVPs und kleine bis mittelgroße Webanwendungen gemacht. Es eignet sich gut für Projekte, bei denen du dich schnell bewegen und auf Basis von echtem Feedback iterieren möchtest. Für Projekte mit stark regulierten Daten kann zusätzliche Compliance-Arbeit nötig sein, über das hinaus, was Macaly standardmäßig übernimmt. Dazu gehören:- Gesundheitsdaten, die unter HIPAA oder ähnliche Regelungen fallen
- Rohe Zahlungskartendaten, die dem PCI DSS unterliegen
- Apps, die sich an Kinder unter 13 Jahren (COPPA) oder unter 18 Jahren richten