Sicherheit

Zuletzt aktualisiert 23. Okt. 2026

Das CLI ist darauf ausgelegt, vor dem Handeln zu fragen: Diffs vor Änderungen, Abfragen vor riskanten Befehlen und eine Sandbox unter Linux. So schützen wir Ihr Konto und Ihre Daten, und so melden Sie ein Problem.

01Schutzmechanismen des CLI

Diff vor dem Schreiben. Jede Dateiänderung wird als Diff zum Annehmen oder Ablehnen angezeigt. /undo stellt die im letzten Schritt geänderten Dateien wieder her.
Berechtigungsabfragen. Befehle, die Dateien löschen, mit git pushen, die Historie umschreiben oder Pakete installieren, fragen immer: einmal zulassen, in diesem Projekt immer zulassen oder verweigern.
Sandbox unter Linux. Befehle laufen in einer bubblewrap-Sandbox ohne Netzwerk und mit Schreibzugriff nur im Projekt. Wo keine Sandbox verfügbar ist (Windows oder Linux ohne bwrap), fragt jeder Befehl nach Erlaubnis, sofern Sie nicht übergeben --yes.
Geschützte Befehle. Anmelden, Abmelden und Aktualisieren können nicht aus der Shell des Agenten ausgeführt werden, und !command durchläuft denselben Filter.
MCP-Tools. Nur lesende MCP-Tools fragen einmal pro Server nach Erlaubnis.
Planmodus. Mit Umschalt+Tab liest und plant der Agent, ohne etwas zu ändern, bis Sie zustimmen.

02Authentifizierung

Anmeldung auf der Website mit einem per E-Mail gesendeten Einmalcode, Google oder GitHub, über Neon Auth.
Das CLI meldet sich über den Browser mit PKCE und einem Einmalcode an; Token stehen nie in der URL.
Der gehostete MCP-Server nutzt OAuth.

03Software-Integrität

Eigenständige CLI-Binaries werden gegen veröffentlichte SHA-256-Prüfsummen verifiziert (SHA256SUMS) vor zoreva update ersetzt sie. Sehr alte CLI-Versionen werden aufgefordert zu aktualisieren, statt weiterzulaufen. Prüfsummen für den MCP-Skill und das Plugin werden veröffentlicht auf der Vertrauen .

04Infrastruktur und Daten

Der gesamte Verkehr zu zoreva-ui.com nutzt HTTPS (TLS), mit Cloudflare davor zum Schutz vor DDoS und Bots.
Die Daten werden in Neon (verwaltetes Postgres) mit von der Plattform bereitgestellter Verschlüsselung im Ruhezustand gespeichert.
Modelle werden über Amazon Bedrock aufgerufen; Prompts werden nicht zum Trainieren von Modellen verwendet.
Kartendaten werden von Stripe verarbeitet und berühren nie unsere Server.
Secrets bleiben außerhalb des Repositorys und werden automatisch geprüft; Admin-Zugriff ist auf benannte Konten beschränkt.

Wir haben derzeit keine Sicherheitszertifizierungen von Dritten. Die Anbieter, auf die wir uns stützen, sind aufgeführt auf Unterauftragsverarbeiter.

05Ihre Daten im CLI

Absturzberichte sind standardmäßig aus und enthalten nie Code, Prompts oder Dateiinhalte. Siehe die Datenschutzerklärung dazu, was gesendet wird, wenn Sie ZOREVA-UI-Modelle nutzen.

06Schwachstelle melden

E-Mail legal@zoreva-ui.com mit „Security“ im Betreff, Schritten zur Reproduktion und den Auswirkungen. Bitte geben Sie uns angemessen Zeit zur Behebung, bevor Sie es veröffentlichen, greifen Sie nicht auf Daten anderer Nutzer zu, ändern Sie sie nicht und führen Sie keine Tests durch, die den Dienst beeinträchtigen. Wir bestätigen Meldungen und halten Sie auf dem Laufenden. Ein bezahltes Bug-Bounty-Programm haben wir derzeit nicht.