Anmelden Demnächst
Für 1 € starten Demnächst
Nein. HawkOpen hat noch keine unabhängige Sicherheitszertifizierung und keinen Auditbericht und behauptet das auch nicht. Eine unabhängige Sicherheitsprüfung ist vor der vollen Freigabe noch offen.
Geprüft:
Was Sie stattdessen selbst prüfen können: Nachweisberichte tragen eine Ed25519-Signatur, die jeder mit dem veröffentlichten öffentlichen Schlüssel von HawkOpen prüfen kann, und Datei-Uploads bleiben geschlossen, bis eine externe Malware-Prüfung eingeschaltet ist.
HawkOpen befindet sich in einem kontrollierten Start. Eine unabhängige Prüfung wird hier erst genannt, wenn sie tatsächlich stattgefunden hat.
HawkOpen verschlüsselt seine Anwendungsgeheimnisse, etwa den Zugang zu verbundenen Postfächern, und gespeicherte Dokumentdateien mit AES-256-GCM. Die produktive Schlüsselverwaltung ist vor der vollen Freigabe noch offen.
Der Anwendungscode von HawkOpen hält die Daten jedes Kontos getrennt; das Konto eines anderen Kunden zeigt also Ihre Nachrichten, Ereignisse oder Dokumente nicht. Die Trennung auf Datenbankebene ist vor der vollen Freigabe noch offen.
Weil Google für IMAP und SMTP nur eine Berechtigung anbietet, und die umfasst das ganze Postfach. HawkOpen nutzt diese Verbindung, um Ihre E-Mails zu senden, Antworten zu erkennen und Ihre Post im HawkOpen-Posteingang zu zeigen; Outlook verbindet sich mit IMAP- und SMTP-Berechtigungen.
Ein Tracking-Pixel ist ein gewöhnliches winziges Bild; sein Laden führt keinen Code auf Ihrem Gerät aus. Das Risiko betrifft die Privatsphäre, nicht die Sicherheit: Der Absender erfährt, dass das Bild geladen wurde.
Jede hochgeladene Datei muss eine externe Malware-Prüfung bestehen, bevor HawkOpen sie speichert; ohne diesen Prüfdienst lehnt HawkOpen Uploads ab. Der Prüfdienst ist noch nicht eingeschaltet, daher werden PDF-, Video- und E-Signatur-Uploads vorerst abgelehnt.
Mit einem Einmalcode: HawkOpen sendet einen 8-stelligen Code an die E-Mail-Adresse des Empfängers, der 10 Minuten gilt. Im Produktivbetrieb verlangt ein PDF-, Video- oder Signaturlink ihn immer, bevor sich das Dokument öffnet; ein Angebotslink verlangt ihn beim Öffnen nur, wenn Sie die E-Mail-Bestätigung einschalten, und immer, bevor der Kunde annimmt, unterschreibt oder eine andere Aktion ausführt.
Ja. Im Business-Tarif trägt jede Webhook-Zustellung den Header X-HawkOpen-Signature, eine HMAC-Signatur mit dem Geheimnis Ihres Endpunkts; Ihr Server kann so prüfen, dass die Nachricht von HawkOpen stammt und nicht verändert wurde.
Sie melden sich mit E-Mail-Adresse und Passwort an oder mit einem Passkey, den Sie in Ihrem Konto hinzugefügt haben. HawkOpen hat keinen zusätzlichen Code aus einer Authenticator-App oder per SMS; ein Passkey ist die stärkere Wahl.
Wenn Sie Ihr Passwort vergessen haben, nutzen Sie „Passwort vergessen“ auf der Anmeldeseite: HawkOpen sendet einen Link zum Zurücksetzen, der eine Stunde gilt. Wenn Sie die E-Mail-Adresse des Kontos nicht mehr nutzen können, schreiben Sie HawkOpen über die Kontaktdaten auf der Seite Bedingungen / Impressum.
Ja. Ihre Kontoeinstellungen listen Ihre eigenen angemeldeten Sitzungen auf, und Sie können die abmelden, die Sie nicht kennen. Um ein vergessenes oder zu ersetzendes Passwort zu ändern, nutzen Sie den Link zum Zurücksetzen auf der Anmeldeseite.
HawkOpen erlaubt höchstens 10 Anmeldeversuche in 5 Minuten aus einem Netz und sperrt das Konto nach 5 falschen Passwörtern in Folge für 15 Minuten. Ein gesperrtes Konto bekommt dieselbe Antwort wie ein falsches Passwort, ein Angreifer erkennt den Unterschied also nicht.
Ja. Der Server von HawkOpen sendet mit seinen Antworten eine Content Security Policy: Datenantworten erlauben keine Inhalte und kein Einbetten, und Seiten führen nur Skripte und Stile aus, die mit einem Einmalwert für diese Antwort markiert sind.
Bei Kampagnen ja. Bevor eine Kampagne hinausgeht, prüft HawkOpen den Inhalt: Es blockiert eine Kampagne mit einer gültigen Kartennummer oder einem ausführbaren Anhang oder Makro-Anhang und warnt etwa vor einer nationalen Ausweisnummer, die Sie dann bestätigen können. Eine einzelne E-Mail aus dem Dashboard oder der Browser-Erweiterung wird nicht geprüft.
Noch nicht als Standardfunktionen. Firmen-Single-Sign-on (SAML oder OIDC) und die Benutzerbereitstellung per SCIM sind in HawkOpen nicht eingeschaltet, und eine Ansicht des Audit-Protokolls für Team-Administratoren ist nicht veröffentlicht.
Schreiben Sie HawkOpen über die Kontaktdaten auf der Seite Bedingungen / Impressum. HawkOpen hat noch keine formelle Richtlinie zur Meldung von Schwachstellen und kein Bug-Bounty-Programm veröffentlicht.