Verify us.
Begrenzte Berechtigungen, ein Audit-Trail und gespeicherte Geheimnisse, die nicht über das Dashboard oder die API offengelegt werden können.
Trust you can verify,
Row-Level-Security, Least-Privilege-RBAC, ein Append-only-Audit-Trail und ein write-only Vault.
In der Datenbank durchgesetzt, nicht in der UI
Jede Tabelle ist durch Row-Level-Security geschützt, also gelten dieselben Rollen-Grenzen identisch auf Dashboard, REST, WebSockets und MCP. Es gibt keine Hintertür-Oberfläche, auf der die Checks vergessen wurden.
Least Privilege, wirklich
25 unabhängig freischaltbare Bereiche, jeder mit getrennten Ansicht- und Bearbeiten-Schaltern, kombiniert zu benutzerdefinierten Rollen. Geben Sie einem Auftragnehmer Geräte-Ansicht ohne Skripte-Bearbeiten — Präzision statt Alles-oder-nichts.
Wer hat was wann getan — überall
Ein append-only Audit-Trail protokolliert jede Aktion auf jeder Oberfläche, inklusive direktem Datenbank-Zugriff. Verfolge ihn live, filtere ihn, diffe Änderungen und teile einen Permalink auf genau das fragliche Event.
Secrets ohne Rückweg
Der Tresor speichert Schlüssel verschlüsselt und nur zum Schreiben. Es gibt auf keiner Oberfläche einen Anzeigen-Button oder eine Oberfläche zum Offenlegen — kein MCP-Tool, keine Dashboard-Offenlegung, und BusyBro kann nur die Namen der Secrets auflisten, niemals ihre Werte. Ein Secret wird einmal eingegeben und nur verwendet, nie angezeigt.
KI mit Leitplanken
Agenten handeln nur innerhalb der Rolle des Aufrufers, destruktive Tools verlangen eine explizite Bestätigung, und jede ihrer Aktionen wird permanent geloggt. Autonomie, mit Papierspur.
Prüf es,
Drei Dinge, die du an einem Nachmittag von außen prüfen kannst — ohne Vertriebsgespräch, ohne NDA.
- 01
Scanne die Response-Header
Scanne eine HTML-Seite auf busymate.dev mit einem öffentlichen Header-Scanner oder einem HTTP-Client. Die Tabelle unten beschreibt die Response-Richtlinie der Marketing-Website. Andere Services, einschließlich des Dashboards, haben separate Konfigurationen; überprüfe die genaue URL, die du verwendest. Melde jedes unerwartete Ergebnis mit seiner URL und seinen Response-Headern.
- 02
Lies den Audit-Trail selbst
Öffne den Audit-Trail im Dashboard. Er läuft live mit: Führ eine Aktion aus — benenne ein Gerät um, füg einen Host zu einer SSL-Liste hinzu — und sieh zu, wie das Ereignis erscheint, mit wer, von welcher Oberfläche und wann. Filtere auf einen Akteur oder ein Gerät, vergleiche eine geänderte Einstellung mit ihrem vorherigen Wert und kopiere den Permalink. Die Aktion eines KI-Agenten erzeugt exakt dieselbe Art von Ereignis, weil Agenten in denselben Trail schreiben.
- 03
Melde, was du findest
Ein Header fehl am Platz, eine Rolle, die mehr sieht als sie sollte, oder ein Weg, ein Secret auszulesen? Schreib an die Support-Adresse, was du versucht und was du gesehen hast. Sicherheitsmeldungen gehen direkt an die Entwickler, die für diese Oberfläche zuständig sind, und wir sagen dir Bescheid, sobald es behoben ist.
Strict-Transport-SecurityEin langes max-age inklusive Subdomains — der Browser bleibt bei HTTPS, auch wenn ein Link http sagt.
Content-Security-PolicyEine Richtlinie, die festlegt, woher Skripte und Frames kommen dürfen, sodass ein eingeschleustes Skript nirgendwo herladen kann.
X-Content-Type-OptionsDer Wert nosniff — der Browser vertraut dem deklarierten Inhaltstyp, statt einen zu raten.
X-Frame-OptionsDeny — die Seite kann nicht von einer anderen Site in einen Frame gesetzt werden, was Clickjacking ausschließt.
Referrer-PolicyEine strict-origin-Richtlinie — Navigationen zu anderen Sites verraten nie die vollständige URL, von der du kommst.
Permissions-PolicyKamera, Mikrofon und Standort abgeschaltet — die Site fragt nie nach einer Fähigkeit, die sie nicht nutzt.
Responsible Disclosure läuft über die Support-Seite — die Adresse dort erreicht die Leute, die es beheben können. Support
Wo jede Garantie
Eine Garantie ist nur so stark wie die Schicht, die sie durchsetzt — das hier ist diese Schicht, für jede einzelne.
Rollen & BerechtigungenRow-Level-Security in der Datenbank. Dashboard, REST, WebSockets und MCP lesen dieselben Tabellen unter denselben Regeln, sodass eine Rollengrenze nicht durch einen Wechsel der Oberfläche umgangen werden kann.
Audit-TrailEin nur anfügbares Protokoll, das die Datenbank selbst schreibt — auch bei direktem Datenbankzugriff —, das Dashboard live mitliest und Agenten über dieselben Tools lesen.
Secrets-TresorVerschlüsselt gespeichert und von jeder Oberfläche aus nur beschreibbar; nur Server-Code löst einen Wert auf, im Moment der Verwendung, und nichts zeigt ihn an.
Agenten-AktionenDie Rolle des Aufrufers, eine Bestätigung für jedes destruktive Tool und derselbe Audit-Trail — durchgesetzt vom Server, mit dem der Agent spricht, nie vom Client.
Erfasster TrafficEntschlüsselt auf dem Gerät oder deinem eigenen Proxy. Synchronisierte Einträge werden für das plattformweite Fenster von 10 Tagen aufbewahrt und können jederzeit gelöscht werden.
Questions evaluators
Wird RBAC in der UI oder in der Datenbank durchgesetzt?
In der Datenbank — jede Tabelle ist RLS-geschützt, also gelten dieselben Rollen-Grenzen auf Dashboard, REST, WebSockets und MCP gleichermaßen.
Kann ein Admin ein gespeichertes Secret zurücklesen?
Nein — es gibt auf keiner Oberfläche einen Anzeigen-Button oder eine Möglichkeit zur Offenlegung: kein MCP-Tool (nur ein Tool zum Auflisten der Namen existiert), keine Dashboard-Offenlegung, und BusyBro kann nur die Namen der Secrets auflisten. Secrets werden nur zum Schreiben in einem AEAD-verschlüsselten Tresor gespeichert und ausschließlich von serverseitigem Code im Moment der Nutzung verwendet.
Gibt es einen Audit-Trail für KI-Agenten-Aktionen?
Ja — jede Aktion eines Agenten, inklusive direktem Datenbank-Zugriff, wird permanent in einem append-only, oberflächenübergreifenden Audit-Trail geloggt, mit Live-Tail, Filtern, Diffs und teilbaren Permalinks.
Kann ich einem Contractor begrenzten Zugriff geben?
Ja — 25 unabhängig freischaltbare Bereiche bieten jeweils getrennte Ansicht-/Bearbeiten-Schalter, kombinierbar zu benutzerdefinierten Rollen, z. B. Geräte-Ansicht ohne Skripte-Bearbeiten.
Wie melde ich eine Schwachstelle?
Schreib an die Adresse auf der Support-Seite, was du versucht und was du gesehen hast. Ein Bug-Bounty-Programm gibt es heute nicht; Meldungen gehen direkt an die Entwickler, die für diese Oberfläche zuständig sind, und du hörst von uns, sobald es behoben ist.
Wo werden erfasste Daten gespeichert, und wie lange?
Entschlüsselt wird auf dem Gerät oder deinem Proxy. Einträge, die du synchronisierst, liegen unter deinem eigenen Konto für das plattformweite Fenster von 10 Tagen und werden danach automatisch gelöscht — du kannst sie jederzeit auch früher löschen.
Point it at
Rollen, Audit-Trail und Vault — Vertrauen, das du prüfen kannst, nicht nur liest.