Vertrauen und Sicherheit
Was wir technisch erzwingen, was wir vor jedem Release prüfen und was wir bewusst nicht behaupten.
Kurz gesagt
Statische Architektur, strenge Sicherheits-Header, keine Laufzeitabhängigkeiten, Release-Manifest mit SHA-256 und ein Gate mit 32 Stufen vor jedem Release, inklusive axe-core und html-validate.
Architektur
KYA ist eine statische Website ohne Serverlogik. Die Prüfung läuft als JavaScript-Modul im Browser; es gibt kein Konto, keine Datenbank, keine Cookies und keine Analysewerkzeuge. Ausgeliefert wird über das Edge-Netz von Vercel.
Sicherheits-Header
| Header | Wert | Wirkung |
|---|---|---|
Content-Security-Policy | default-src 'none'; script-src 'self'; connect-src 'none'; form-action 'none'; frame-ancestors 'none' … | Nur eigene Skripte, keine Netzwerkverbindungen aus der Seite, keine Einbettung |
Strict-Transport-Security | max-age=63072000; includeSubDomains; preload | Nur verschlüsselte Verbindungen |
X-Content-Type-Options | nosniff | Kein Umdeuten von Dateitypen |
Referrer-Policy | strict-origin-when-cross-origin | Keine Pfade an fremde Seiten |
Permissions-Policy | camera=(), microphone=(), geolocation=() … | Keine Gerätezugriffe |
Cross-Origin-Opener-Policy | same-origin | Isolation von fremden Fenstern |
Die Header sind Teil des Repositorys und werden bei jedem Release automatisch gegen die Seite getestet.
Lieferkette und Release-Integrität
- Keine Laufzeitabhängigkeiten; Build-Werkzeuge sind auf exakte Versionen festgelegt und werden gegen das Lockfile installiert.
- Jede ausgelieferte Datei steht mit SHA-256 im öffentlichen Release-Manifest.
- Das Auslieferungspaket trägt Prüfsummen für jede Datei; die Einrichtung bricht bei Abweichungen ab.
- Testvektoren enthalten nachweislich kein privates Schlüsselmaterial.
Prüfung vor jedem Release
Kein Release ohne grünes Gate. Es umfasst 32 Stufen, darunter Typprüfung im strengsten Modus, 62 Testvektoren und 24'000 Fuzz-Mutationen, Abgleich des Prüfprofils mit dem Prüfkern, Sprachparität, Link- und Strukturprüfung sowie End-to-End-Tests in Chromium unter der Produktions-CSP mit Messung der Layoutstabilität.
Dazu kommen unabhängige Werkzeuge: axe-core prüft jede Seite in zwei Breiten nach WCAG 2.2 AA, html-validate die HTML-Struktur, Vercels eigene Routing-Logik die Header und Umleitungen. Die Kommandozeile wird über alle Vektoren geprüft, und die Website läuft im Test auch auf einem fremden Webserver ohne Netzzugang.
Datenschutz
Nachweise verlassen den Browser nicht. Der Hoster verarbeitet technisch notwendige Verbindungsdaten; wir werten sie nicht aus. Zur Datenschutzerklärung
Barrierefreiheit
Ziel ist WCAG 2.1 auf Stufe AA. Automatisch geprüft werden jede Seite mit axe-core in Desktop- und Mobilbreite, Farbkontraste aller Text- und Statuskombinationen, Beschriftung aller Formularfelder, Tastaturführung mit Skip-Link, Bildalternativen, freier Zoom und reduzierte Bewegung. Hinweise auf Barrieren nehmen wir unter info@innopulse.io entgegen.
Schwachstellen melden
Bitte vertraulich an info@innopulse.io. Die maschinenlesbaren Angaben stehen in security.txt. Wir bestätigen den Eingang und informieren über das weitere Vorgehen.
Was wir bewusst nicht behaupten
- KYA trägt keine Zertifizierung.
- KYA ist kein akkreditierter Vertrauensdienst.
- Ob ein Zeitstempel qualifiziert ist, wird ohne offizielle Vertrauensliste nicht festgestellt.
- Prüfergebnisse sind technische Aussagen, keine Rechtsauskunft.