Kasandro Sicherheitsprüfungen: was bei jeder Änderung läuft und was es fand
Jede Änderung am Kasandro-Code durchläuft automatische Sicherheitsprüfungen, und neue Funde stoppen den Build: eine Schwachstelle in Abhängigkeiten, ein durchgesickertes Geheimnis, ein riskantes Codemuster, eine Warnung auf der gebauten Website. Dieser Beitrag listet sie auf und nennt die Ergebnisse ihrer ersten Läufe am 13. Oktober 2026. Die Bankverbindung von Kasandro ist noch nicht geöffnet; die Prüfungen betreffen den Code und die öffentliche Website, die es heute gibt.
Die Prüfungen bei jeder Änderung
| Prüfung | Was sie ansieht | Neue Funde |
|---|---|---|
| npm audit (kritische Stufe) | bekannte Schwachstellen in Abhängigkeiten | stoppen den Build |
| gitleaks | Schlüssel und Passwörter im Code | stoppen den Build |
| Semgrep SAST | riskante Codemuster, offener Regelsatz | stoppen den Build |
| TruffleHog | wirklich funktionierende Geheimnisse in der ganzen Git-Historie (beim Aussteller geprüft) | stoppen den Build |
| OWASP ZAP Baseline | die gebaute Website, passiv: Header, Cookies, Bibliotheken | stoppen den Build |
| OSV-Scanner | Abhängigkeiten gegen eine Schwachstellendatenbank (bei Änderungen und wöchentlich) | stoppen den Build |
| Dependabot | veraltete Abhängigkeiten und GitHub Actions | schlägt Updates vor (unten) |
„Stoppt den Build“ heißt: Die Prüfung wird rot und der Pull Request schlägt fehl. Die ZAP-Baseline greift nie an: Sie durchstöbert die Website und liest die Antworten (was das bedeutet, erklärt unser ZAP-Beitrag).
Jede Woche öffnet Dependabot gruppierte Pull Requests mit den Abhängigkeits-Updates, die es gefunden hat (dependabot.yml); eine wöchentliche Routine fasst alle offenen zu einem einzigen Pull Request zusammen und bearbeitet ihn, bis jede blockierende Prüfung besteht; ein Mensch mergt ihn.
Erste Läufe, 13. Oktober 2026
- Semgrep: 0 Funde.
- OWASP-ZAP-Baseline: 63 Prüfungen bestanden, 0 durchgefallen.
- TruffleHog: die gesamte Git-Historie, 0 Geheimnisse.
- Abhängigkeits-Scan (OSV-Scanner): Er meldete bekannte Schwachstellen, und wir haben die Pakete aktualisiert, für die es eine Korrektur gab (das Anthropic-SDK und Abhängigkeiten der Prisma-Werkzeuge).
- gitleaks und npm audit auf kritischer Stufe: bestanden.
FAQ
Heißt das, Kasandro ist sicher?
Es ist eine automatische Untergrenze: Die Prüfungen fangen bei jeder Änderung bekannte Fehlerklassen ab und ergänzen die Prüfung durch Menschen.
Welche Prüfungen stoppen den Build?
Neue Funde in npm audit (kritisch), gitleaks, Semgrep (ERROR), TruffleHog (verifizierte Geheimnisse), der ZAP-Baseline und OSV-Scanner stoppen den Build. Dependabot schlägt Updates vor.
Wohin melde ich eine Schwachstelle?
Schreiben Sie an support@kasandro.com, unsere einzige Adresse, und lesen Sie die Sicherheitsseite und die Datei security.txt.
Quellen
- Semgrep, Dokumentation: https://semgrep.dev/docs/, Stand 13. Oktober 2026
- ZAP, Baseline-Scan: https://www.zaproxy.org/docs/docker/baseline-scan/, Stand 13. Oktober 2026
- TruffleHog, Projekt: https://github.com/trufflesecurity/trufflehog, Stand 13. Oktober 2026
- OSV-Scanner, Dokumentation: https://google.github.io/osv-scanner/, Stand 13. Oktober 2026
- gitleaks, Projekt: https://github.com/gitleaks/gitleaks, Stand 13. Oktober 2026
- Kasandro, Sicherheitsseite: https://kasandro.com/de/security, Stand 13. Oktober 2026
Weiterlesen
Kasandro ist ein Einblickswerkzeug für deine Finanzen, keine Anlage- oder Finanzberatung. Die Zahlen von Marek, Ania und Tomek sind Beispieldaten.
RSS · Dieser Beitrag auf Polnisch · Blog auf Englisch
Eine Frage, die dieser Beitrag nicht beantwortet? Schreib an support@kasandro.com.