Sicherheit

Workflow Trigger Extensions wird von Code Creation Labs entwickelt und betrieben. Auf dieser Seite erfahren Sie, wie die App aufgebaut ist, wo sie ausgeführt wird, wie die Daten Ihres Shops geschützt werden und wie wir alles auf dem neuesten Stand halten. Diese Informationen richten sich an Shop-Betreiber sowie an alle Personen, die einen Sicherheitsfragebogen ausfüllen. Die rechtlichen Aspekte (Datenschutzerklärung, Datenverarbeitungsvereinbarung, Unterauftragsverarbeiter) finden Sie unter Rechtliches und Datenschutz.

Auf welcher Grundlage die App basiert

Ebene	Was wir verwenden
Anwendungscode	TypeScript auf Node.js, einer aktuellen Version mit langfristigem Support. Jeder Teil der Anwendung, von den Administrationsseiten bis hin zu den Workern, die Ihre Ereignisse verarbeiten, basiert auf einer einzigen Codebasis.
Datenbank und Cache	PostgreSQL (Google Cloud SQL) und Redis (Google Cloud Memorystore)
Hosting	Container auf Google Kubernetes Engine in der Google Cloud-Region „europe-west1“ (Belgien, Europäische Union). Datenbanken, Caches und Dateispeicher befinden sich innerhalb dieser Region.
Shopify-Integration	Shopify
Ihr Storefront	In Ihrem Theme wird nichts ausgeführt. Das optionale Web-Pixel hinter Storefront-Auslöser wird innerhalb der Pixel-Sandbox von Shopify ausgeführt und wird nur installiert, wenn Sie einen Storefront-Trigger aktivieren.

Der Dienst enthält keinerlei PHP, WordPress, Java oder andere Laufzeitumgebungen. Die App ist im Shopify App Store gelistet und hat die App-Prüfung von Shopify bestanden, die die Anforderungen von Shopify hinsichtlich Sicherheit und Schutz von Kundendaten abdeckt.

Wie Ihre Daten geschützt werden

Während der Übertragung. Jede Verbindung zwischen Ihrem Browser, Shopify und der App erfolgt über TLS. Die Datenbank und der Cache verfügen über keine öffentliche Adresse: Sie sind ausschließlich von innerhalb unseres privaten Netzwerks erreichbar.

Im Ruhezustand. Alle Datenbanken und Speichermedien werden im Ruhezustand mit Schlüsseln verschlüsselt, die wir in Google Cloud KMS verwalten.

Darüber hinaus erfolgt eine Verschlüsselung auf Feldebene. Die sensibelsten Werte erhalten eine zweite Schutzebene: das Shopify-Zugriffstoken Ihres Shops sowie die geschützten Kundendaten (Namen, E-Mail-Adressen, Telefonnummern, Postanschriften), die von den Opt-in-Triggern für personenbezogene Daten ausgelesen werden. Jeder Datensatz wird einzeln mit AES-256-GCM unter einem separaten Schlüssel in Cloud KMS verschlüsselt, wobei eine automatische Schlüsselrotation erfolgt. Die Werte werden erst dann im Arbeitsspeicher entschlüsselt, wenn sie benötigt werden - beispielsweise beim Auslösen eines Triggers - und werden niemals in Protokolle geschrieben. Die Änderungserkennung bei personenbezogenen Daten erfolgt durch den Vergleich von Hash-Werten, sodass die App erkennen kann, dass sich ein Wert geändert hat, ohne ihn entschlüsseln zu müssen.

Geheimnisse. API-Anmeldedaten und -Schlüssel werden im Google Secret Manager gespeichert und beim Start eines Dienstes geladen. Sie befinden sich weder im Code noch in den Container-Images noch in der Build-Pipeline.

Datenminimierung. Die App fordert bei der Installation keinen Datenzugriff an. Jede Berechtigung muss ausdrücklich erteilt werden, ist auf eine bestimmte Datenart beschränkt und kann jederzeit widerrufen werden. Siehe Berechtigungen und Datenzugriff.

Wer hat Zugriff auf welche Daten?

• Ausschließlich Ihre Shops. Jeder Datensatz enthält Angaben zum Shop, zu dem er gehört, und jede Abfrage ist auf den Shop beschränkt, für den die Authentifizierung erfolgte. Ein Shop kann niemals die Daten eines anderen Shops lesen oder ändern.
• Nur verifizierte Anfragen. Seiten innerhalb des Shopify-Adminbereichs werden anhand von Shopify-Sitzungstoken authentifiziert. Webhooks und Shopify Flow-Callbacks werden anhand der HMAC-Signatur von Shopify verifiziert, interne Nachrichten anhand von durch Google signierten Identitäten, bevor Daten verarbeitet werden. Jedes Shopify-Ereignis wird einmal verarbeitet und anhand seiner Ereignis-ID dedupliziert.
• Benutzerdefinierter Trigger-Code. JavaScript, das Sie selbst für Benutzerdefinierte Trigger schreiben, wird in einer isolierten Sandbox mit Zeit- und Speicherbeschränkungen ausgeführt, und zwar auf einer von den Servern der App getrennten Infrastruktur. Der Code hat zu keinem Zeitpunkt Zugriff auf die Anmeldedaten der App oder Ihr Shopify-Zugriffstoken. Der einzige Zugriff auf Ihren Shop erfolgt über ein kurzlebiges Token, das an Ihren Shop gebunden ist und innerhalb einer Minute abläuft.
• Unser Team. Der Zugriff auf die Produktionssysteme erfolgt ausschließlich über Google Cloud IAM mit individuellen Konten. Interne Wartungstools sind nicht mit dem Internet verbunden.

Wie wir die App auf dem neuesten Stand halten

• Jede Änderung wird vor der Auslieferung überprüft. Die Pipeline führt Typenprüfungen und Linting durch sowie statische Anwendungssicherheitstests (SAST), die Erkennung vertraulicher Daten, die Überprüfung von Abhängigkeiten auf Schwachstellen und die Überprüfung von Container-Images. Unser Release-Kriterium lautet: keine bekannten Schwachstellen in den Abhängigkeiten und im Image.
• Laufzeitumgebung und Betriebssystem. Das Container-Image - Node.js auf Basis von Alpine Linux - wird mit jeder neuen Version neu erstellt, sodass Patches für die Laufzeitumgebung und das Betriebssystem kontinuierlich bereitgestellt werden. Die verwaltete Kubernetes-Plattform sorgt dafür, dass die zugrunde liegenden Knoten stets auf dem neuesten Stand sind.
• Shopify-Plattform. Wir verfolgen die API-Versionen von Shopify sowie die Sicherheitshinweise für die App-Bibliotheken von Shopify und führen Aktualisierungen umgehend durch. Die App läuft auf einer aktuellen Version der Admin-API.
• Sicherheitsüberprüfungen. Vor jeder Änderung, die die Authentifizierung, Sitzungen oder die Offenlegung von Daten betrifft, wird ein automatisiertes Sicherheitsaudit durchgeführt, und wir führen in regelmäßigen Abständen eine umfassende interne Überprüfung aller Routen, Datenpfade und Datenbankabfragen durch, zuletzt im Oktober 2026.
• Überwachung. Die Verfügbarkeit wird rund um die Uhr überwacht und auf unserer statuspage veröffentlicht; bei Fehlern werden wir benachrichtigt. Betriebsprotokolle werden höchstens 30 Tage lang aufbewahrt und enthalten niemals Tokens, Geheimdaten oder Kundendaten.

Aufbewahrung und Löschung

• Der Ereignisverlauf wird nach 30 Tagen automatisch gelöscht.
• Die Momentaufnahmen, die die App zur Erkennung von Änderungen speichert (der zuletzt bekannte Zustand eines Produkts, einer Bestellung oder eines Kunden), bleiben so lange erhalten, wie die App installiert ist, da die nächste Änderung anhand dieser Momentaufnahmen erkannt wird.
• Wenn Sie die App deinstallieren, wird deren Zugriff auf Ihren Shop sofort gelöscht. Die „shop/redact“-Anfrage von Shopify, die 48 Stunden nach der Deinstallation erfolgt, löscht die geschützten Kundendaten sowie alle von Ihrem benutzerdefinierten Trigger-Code gespeicherten Daten.
• Shopify
• Unterauftragsverarbeiter und der vollständige Aufbewahrungsplan sind in der privacy-policy aufgeführt. Eine unterzeichnete Datenverarbeitungsvereinbarung kann unter [workflow-trigger-extensions.app/dpaxml-ph-0004 angefordert werden.

Ein Sicherheitsproblem melden

Falls Sie glauben, eine Sicherheitslücke entdeckt zu haben, oder wenn Sie einen Sicherheitsfragebogen ausfüllen lassen möchten, senden Sie bitte eine E-Mail an support@codecreationlabs.com. Sicherheitsmeldungen werden vorrangig bearbeitet und beantwortet.