Anmelden
Konto-Passwörter werden nie als Text gespeichert. Sie werden als gesalzene Einweg-Hashes gespeichert, die mit der PHP-Funktion password_hash() und deren Standardalgorithmus erzeugt werden, und bei der Anmeldung mit password_verify() geprüft. Nach der Anmeldung erhält die Sitzung eine neue Kennung.
API-Schlüssel werden als SHA-256-Hashes mit Schlüssel (HMAC) gespeichert und dienen nur zur Überprüfung von Anfragen. Ein Schlüssel lässt sich im Dashboard erneuern, ältere lesbare Kopien werden gelöscht. Halten Sie Ihren Schlüssel geheim, denn wer ihn hat, kann über die API in Ihrem Namen handeln.
Aktionen, die Ihr Konto ändern, etwa das Aktualisieren von Einstellungen oder das Löschen von Videos, erfordern ein an Ihre Sitzung gebundenes CSRF-Token, das in konstanter Zeit verglichen wird. Das Sitzungs-Cookie ist mit HttpOnly und SameSite=Lax markiert, sodass Skripte auf der Seite es nicht lesen können und es bei den meisten seitenübergreifenden Anfragen nicht mitgesendet wird.
Hochgeladene Videos und ihre verarbeiteten Streaming-Dateien liegen in einem privaten Speicherordner, auf den der Webserver den direkten Zugriff sperrt. Sie werden über die Anwendung ausgeliefert, die die Anfrage zuvor prüft. Ausgelieferte Dateien erhalten Cache-Header, die sie als privat kennzeichnen, sodass gemeinsame Caches sie nicht speichern sollten.
Player erhalten kurzlebige Wiedergabesitzungen statt dauerhafter Dateiadressen, die Standardlebensdauer beträgt 15 Minuten. Download-Anfragen werden nicht mit der IP-Adresse selbst, sondern mit einer gehashten Version der IP-Adresse des Anfragenden erfasst, und dasselbe gilt für die View-Zählung.
Jedes Video kann öffentlich oder privat sein, und Sie können ausgewählte Videos im Dashboard auf privat stellen. Private Videos erscheinen nicht auf öffentlichen Ordnerseiten. Website-Moderatoren können jede Datei weiterhin öffnen, wenn sie Missbrauchs- oder Urheberrechtsmeldungen bearbeiten.
Die HTTP-API erzwingt pro Konto Limits für Anfragen pro Stunde, Anfragen pro Tag und Uploads pro Tag (standardmäßig 250, 5.000 und 25) und antwortet bei Erreichen eines Limits mit Status 429 und einem Retry-After-Header. Gast-Uploads von der Startseite sind auf zehn temporäre Konten pro Netzwerkadresse und Tag begrenzt. Öffentliche Formulare wie das Missbrauchsformular haben eigene Limits.
Sie können Videos im Dashboard löschen. Dabei werden die gespeicherten Dateien und die Datenbankeinträge des Videos entfernt. Die Kontolöschung erfolgt als Anfrage über die Kontaktseite; die Datenschutzerklärung beschreibt die Aufbewahrung für Backups und gesetzliche Pflichten.
Die Website erkennt, wenn sie über HTTPS ausgeliefert wird, und erstellt dann sichere Links. Die Erzwingung von HTTPS für jeden Besuch und die zugehörigen Browser-Richtlinien werden in der Webserver-Konfiguration statt im Anwendungscode eingerichtet; prüfen Sie daher vor der Anmeldung stets, ob die Adressleiste eine sichere Verbindung anzeigt.
Wenn Sie ein Sicherheitsproblem finden, melden Sie es uns bitte über die Kontaktseite mit genug Details zur Reproduktion. Greifen Sie beim Testen bitte nicht auf Daten anderer Personen zu und stören Sie den Dienst nicht. Um stattdessen missbräuchliche Inhalte zu melden, nutzen Sie Missbrauch melden.
