Sicherheit und faire Nutzung

Envbay ist für Entwicklung und Staging (Testversionen vor dem Start) gedacht. Jede Instanz (Ihr Entwicklungsserver) läuft von den anderen getrennt.

Kurz gesagt

• Ihre Instanz ist von anderen Kunden getrennt.
• Ihre Projekte sind standardmäßig privat.
• Bitte keine Portscans (Abtasten fremder Server) und keine Angriffe auf andere.
• Ein Wächter (ein automatisches Prüfprogramm) sperrt Ihre Instanz bei Portscans und Verbindungsfluten.
• Bei einer Sperre bleiben Ihre Daten erhalten.
• Massen-E-Mails und Krypto-Mining (Rechnen für Geld) verbieten die AGB.

Maßgeblich sind die Allgemeinen Geschäftsbedingungen.

Ihre Instanz wurde gesperrt

Das sehen Sie bei einer Sperre:

• Ihre Projekte sind angehalten.
• Nach der Anmeldung in Ihrer Instanz sehen Sie eine Sperrseite.
• Die Aktionen auf der Dienstseite (die Seite Ihrer Instanz in my.envbay.com) sind gesperrt.

So kommen Sie wieder hinein:

1. Melden Sie sich bei my.envbay.com an.
2. Schreiben Sie uns ein Ticket (eine Nachricht an den Support).
3. Schreiben Sie, was Sie zuletzt geändert haben.
4. Warten Sie, bis wir den Fall geprüft haben.
5. Starten Sie nach der Freigabe Ihre Projekte neu.

Eine Sperre kann auch eine offene Rechnung auslösen. Bezahlen Sie dann die Rechnung.

Eine Sicherheitslücke melden

Haben Sie bei Envbay eine Sicherheitslücke gefunden? Schreiben Sie an security@envbay.com.

1. Beschreiben Sie, wo die Lücke ist (Adresse, Seite oder Funktion) und was damit möglich wäre.
2. Legen Sie bei, wie wir sie nachstellen können (Schritte, Bildschirmfoto). Keine fremden Daten abrufen, nichts verändern.
3. Sie bekommen innerhalb von drei Werktagen eine Antwort mit einer Einschätzung.
4. Wir beheben die Lücke und sagen Ihnen Bescheid. Bitte veröffentlichen Sie nichts, bevor sie geschlossen ist (spätestens nach 90 Tagen).

Eine Belohnung zahlen wir nicht, nennen Sie aber auf Wunsch als Finder in den Planungsnotizen zur Behebung.

Wenn etwas nicht klappt

Sie sind unsicher, ob Ihre Instanz gesperrt ist? Schreiben Sie uns ein Ticket. Die Schritte stehen im Kapitel Hilfe.

Isolation

Jede Instanz läuft in einem eigenen, abgeschotteten Container, getrennt von allen anderen Kunden. Für jeden Kunden gilt eine eigene Firewall, und auf dem Host gibt es eine weitere Schicht. Darauf bauen die Projekt-Container Ihrer eigenen Instanz auf.

Richtung	Regel
Eingehend	nur 80, 443 und die SSH-Ports der Instanzen
Ausgehend ins Internet	erlaubt
Ausgehend zu anderen Kunden, zu Envbay-Systemen, in private Netze	weitgehend gesperrt (DNS und Paket-Cache bleiben erreichbar)
Ausgehende Mailports 25, 465 und 587	gesperrt (Mails im Test über Mailpit abfangen)
Neue ausgehende Verbindungen	höchstens 50 pro Sekunde, kurze Spitzen bis 200

Automatische Sperre

Ein Wächter prüft die Instanzen jede Minute. Er zählt Firewall-Verwerfungen und Treffer der Verbindungsbremse. Erreicht eine Instanz 50 Treffer in 5 Minuten, was etwa bei Portscans und Verbindungsfluten passiert, sperrt er sie automatisch und benachrichtigt Envbay.

Dabei passiert:

• Von der Instanz wird ein Schnappschuss gesichert (@guard-<Zeit>); Ihre Daten bleiben erhalten.
• Der Fleet Manager sperrt die Instanz mit einer zweisprachigen Nachricht. Envoryx hält alle Projekte an.
• Die Instanz wird vom Netz isoliert: eingehend nur Port 443, ausgehend nur Namensauflösung und die Verbindung zum Fleet Manager. Die Rechenleistung wird gedrosselt. Der Container selbst läuft weiter; nur wenn die Isolation nicht greift, wird er gestoppt.
• Envbay prüft den Vorfall und gibt die Instanz frei. Eine Selbstfreigabe gibt es nicht. Eine Zusage zur Dauer der Prüfung gibt es nicht.

Was Sie bei einer Sperre sehen:

Wo	Wirkung
Anmeldeseite der Instanz	erreichbar
Oberfläche nach der Anmeldung	Sperrseite mit der Nachricht von Envbay (Deutsch und Englisch)
Projektadressen	Antwort „is stopped“ (HTTP 503)
API, MCP, SSH, SFTP	abgelehnt (API: HTTP 403, Code suspended)
Dienstseite in my.envbay.com	Aktionen werden abgelehnt, mit dem Hinweis auf ein Ticket

Wer nicht angemeldet ist, sieht die Sperrmeldung nicht. Nach der Freigabe starten Ihre Projekte nicht von selbst; starten Sie sie in Envoryx. Direkt nach der Freigabe zählt der Wächter 5 Minuten lang nicht erneut mit.

Was Sie tun können

Eröffnen Sie ein Ticket mit dem Namen Ihrer Instanz. Schildern Sie, was zuletzt geändert wurde, und aktualisieren Sie betroffene Projekte (Abhängigkeiten, Plugins, Passwörter).

Dieselbe Wirkung hat eine Sperre wegen einer überfälligen Rechnung: Projekte angehalten, Daten erhalten. Nach Zahlungseingang wird sie aufgehoben, siehe Bestellen und Konto.

Dauerlast

Hält eine Instanz die CPU über Stunden nahezu voll ausgelastet (im Mittel über 90 % über zwei Stunden), meldet das System das an Envbay. Es wird nichts automatisch gesperrt. Envbay prüft die Meldung und kann Sie kontaktieren. Dauerlast ist für Entwicklung und Staging nicht gedacht; die AGB regeln die Folgen.

Malware-Scan

Die Dateien Ihrer Projekte werden regelmäßig auf bekannte Schadsoftware geprüft: von Montag bis Samstag um 04:30 die geänderten Dateien, sonntags um 03:00 alle. Dateien über 50 MB sowie Verzeichnisse wie node_modules, vendor und .git bleiben außen vor. Ein Fund geht als Meldung an Envbay; der Scan sperrt oder löscht nichts selbst. Envbay prüft den Fund (Fehlalarme sind möglich) und kann Sie dann bitten, die Dateien zu bereinigen.

Ihre Verantwortung für die eigenen Projekte

Envoryx steuert Docker auf Ihrer Instanz und hat dafür den Docker-Socket. Wer in Envoryx Docker-Zugriff hat, hat damit Root-Rechte in seiner eigenen Instanz, aber nicht darüber hinaus. Sie sind für die Sicherheit Ihrer Projekte selbst verantwortlich:

• Rollen sparsam vergeben, Zwei-Faktor-Anmeldung nutzen, Passwörter und API-Token geheim halten.
• Geheimnisse nur als secrets führen, nie im Repository (siehe Projekt einrichten).
• Debugger-Ports ohne Anmeldung (Delve, rdbg, JDWP) gehören nur in den SSH-Tunnel.
• Freigaben zeitlich kurz halten (siehe Projekte und Adressen).
• Anwendungen und Abhängigkeiten aktuell halten.

Zugriff des Supports

Envbay öffnet Ihre Oberfläche nur, wenn die Admins Ihrer Instanz das erlauben. Jede Anmeldung steht im Audit-Log, siehe Erste Schritte.

Faire Nutzung und AGB

Erlaubt ist die Nutzung für die Entwicklung und das Staging eigener Projekte. Nicht erlaubt sind insbesondere Angriffe auf Dritte, Massenversand von E-Mails, Krypto-Mining, das Scannen fremder Systeme, Schadsoftware und der Versuch, die Isolation zu umgehen. Bei einem konkreten Verdacht darf Envbay die Instanz anhalten; bei Wiederholung oder fehlender Bereinigung kann der Vertrag gekündigt werden. Fristen und Einzelheiten regeln die Allgemeinen Geschäftsbedingungen.

Sicherheitslücken melden

Haben Sie eine Sicherheitslücke bei Envbay gefunden, schreiben Sie an security@envbay.com (Weiterleitung an das Betreiberteam; Antwort innerhalb von drei Werktagen, koordinierte Offenlegung nach spätestens 90 Tagen, kein Prämienprogramm). Bitte beschreiben Sie Fundstelle und Auswirkung, ohne fremde Daten abzurufen oder den Betrieb zu stören. Die Angabe steht auch in der Datei security.txt auf envbay.com.