SECURITY
Security bei HOLMI
HOLMI wird nach dem Prinzip Least Privilege und mit mehreren voneinander unabhängigen Schutzschichten aufgebaut.
Aktuelle Pre-Launch-Massnahmen
- HTTPS/TLS und HSTS auf produktiven Domains;
- restriktive Browser-Sicherheitsheader;
- serverseitige Validierung aller Pre-Register-Eingaben;
- Origin-Allowlist, Payload-Limits, Honeypot und Rate Limiting;
- keine öffentlichen SELECT-, UPDATE- oder DELETE-Rechte auf personenbezogenen Tabellen;
- Supabase Row Level Security (RLS);
- Admin-Zugriff nur über Supabase Auth;
- verpflichtende MFA für HOLMI Control;
- Rollen- und Admin-Allowlist;
- Audit-/Änderungshistorie im CRM;
- keine Service-Role- oder Payment-Secrets im Browsercode.
Vor dem Payment-Launch
- PSP-/TWINT-Sandbox und Webhook-Signaturprüfung;
- idempotente Payment- und Refund-Verarbeitung;
- Trennung von Autorisierung, Capture und Refund;
- Backup- und Restore-Tests;
- Incident-Response-Runbook;
- regelmässige Rechte- und Rollenprüfung;
- Dependency- und Vulnerability-Management;
- Monitoring, Alerting und Error Tracking;
- Fraud Controls für Promotions und Bestellungen;
- Reconciliation zwischen Orders, Payments, Refunds und Abrechnungen.
Verantwortungsvolle Sicherheitsmeldungen
Hinweise zu potenziellen Sicherheitsproblemen können vertraulich an security@holmi.ch gesendet werden. Bitte keine Sicherheitslücken öffentlich veröffentlichen und keine fremden Daten abrufen oder verändern.
Kein Versprechen absoluter Sicherheit
Kein IT-System kann vollständige Sicherheit garantieren. HOLMI passt die Schutzmassnahmen risikobasiert an neue Funktionen, Bedrohungen und technische Entwicklungen an.
Stand: 16. September 2026