Die Sicherheit, die wir beschreiben können — nicht mehr.
Nachprüfbare technische Massnahmen im Cortex-Code: Authentifizierung, Dossiertrennung, Ablagen, Webhooks und Grenzen. Keine erfundene Zertifizierung.
Was diese Seite ist — und nicht ist
Diese Seite beschreibt Mechanismen im Code des Dienstes am 30. Oktober 2026. Sie hilft einer Käuferin oder einer Treuhand, die Kontrolle zu verstehen, nicht ein Audit zu ersetzen.
Sie ist kein ISO- oder SOC-Zertifikat, kein Penetrationstest und keine Garantie gegen Vorfälle. Die Parameter Ihres Kontos bleiben im verbundenen Bereich.
Zugang zum Konto
Die Anmeldung nutzt Passport und eine in PostgreSQL gespeicherte Sitzung. Das Sitzungscookie ist httpOnly; in Produktion ist es auch als sicher markiert.
Passwörter werden als Hash gespeichert (bcrypt, mit schrittweiser Migration zu scrypt).
Authentifizierte API-Mutationen (POST, PUT, PATCH, DELETE) sind gegen Cross-Site-Anfragen durch ein CSRF-Token geschützt. Öffentliche Pfade, Webhooks und Authentifizierungsrouten sind ausgenommen.
Trennung der Dossiers
Die Fachdaten hängen an einer Dossier-Kennung (cible_id). Der Treuhandkontext löst dieses Dossier für die angemeldete Person vor den Lesezugriffen auf.
Diese Trennung ist anwendungsseitig. PostgreSQL wendet hier kein automatisches RLS an. Ein vergessener Filter in einer neuen Route bleibt also ein echtes Risiko — deshalb sagen wir es.
Ablage der Belege
Eine Datei wird nicht allein wegen ihrer Endung angenommen. Der Dienst vergleicht den angegebenen Typ mit den magischen Bytes und lehnt einen widersprüchlichen Inhalt ab.
Das OCR der Bilder läuft über Google Cloud Vision, über dessen Zugangspunkt in Zürich.
Zahlungen und E-Mails
Stripe empfängt die Zahlungsereignisse. Fehlt das Webhook-Signaturgeheimnis, schlägt die Prüfung fehl statt das Ereignis anzunehmen.
Transaktionale E-Mails laufen über Brevo. Die Signatur der E-Mail-Webhooks wird zeitkonstant verglichen.
Wo der Dienst läuft
Webanwendung, Worker, Dateien und Datenbank laufen bei Infomaniak in Genf.
Die Verarbeitung der Belege läuft über vier Auftragsbearbeiter in der Schweiz: Infomaniak, Google Cloud Vision, DeepL und Microsoft Azure. Zahlung, E-Mail und Fehlerverfolgung nutzen andere Anbieter, die in der Datenschutzrichtlinie stehen; deren Länder und Klauseln bleiben zu bestätigen.
Aufbewahrung der Quelldateien
Quell-PDFs und -Bilder der Belege sowie das Export-PDF-ZIP werden nach 48 h gelöscht. Journale, Excel-Dateien und extrahierte Daten bleiben herunterladbar.
Buchungen und extrahierte Daten werden nicht mit den Quellen gelöscht: Sie bleiben verfügbar, solange das Konto besteht.
Ehrliche Grenzen
Der Durchsatzbegrenzer lebt im Speicher des Prozesses. Er ist nicht zwischen mehreren Maschinen geteilt.
Die Sicherheitsheader (CSP, HTTPS) setzt der Server. Keine Massnahme garantiert die völlige Abwesenheit eines Vorfalls.
Autorin, Datum und Quellen
Redaktion Cortex · aktualisiert am 30. Oktober 2026. Jede Aussage auf dieser Seite verweist auf eine Datei im Depot oder auf eine bereits geschriebene Betriebsbestätigung. Unbeweisbares bleibt ausserhalb dieser Seite.
- Authentifizierung und Sitzungen: server/auth.ts
- CSRF: server/middleware/csrf.ts
- Dossierkontext: server/middleware/fiduciary-context.ts
- Ablagen: server/middleware/upload.ts
- OCR: workflows/OCR/OCR.ts
- Stripe: server/integrations/stripe/stripe.ts
- Brevo: server/middleware/brevo-webhook-signature.ts
- Quellenlöschung: server/cron/data-cleanup.cron.ts
Die Datenschutzrichtlinie lesen