Die meisten Sicherheitslücken entstehen aus unkonfigurierten Grundlagen. Haloo regelt sie standardmäßig — ohne Expertenwissen.

Die Sicherheit einer Seite sollte kein eigenes Projekt sein. In Haloo sind die wichtigen Maßnahmen von Anfang an aktiv, ohne Konfiguration.

Was standardmäßig aktiv ist

  • CSRF bei jeder Panel-Aktion, mit Token-Prüfung bei jedem Schreibvorgang.
  • bcrypt-Passwörter mit Cost 12.
  • Passkeys (WebAuthn) — Anmeldung ohne Passwort, per Fingerabdruck oder Face ID.
  • Secrets at rest verschlüsselt mit libsodium: dein KI-Key steht nicht im Klartext.
  • HTML-Sanitisierung bei Nutzerinhalten, mit strikter Tag-Allowlist.
  • SSRF-Schutz beim Design-Import und Anti-Zip-Slip bei der Backup-Wiederherstellung.

Eine kleine Angriffsfläche

Ohne Drittanbieter-Plugins im kritischen Pfad ist die Angriffsfläche weit kleiner als bei einem CMS mit Dutzenden Erweiterungen. Weniger fremder Code = weniger Überraschungen.

Ein eigenes Sicherheitsaudit ging durch den Code und führte zu 12 umgesetzten Korrekturen — dokumentiert, nicht nur versprochen.

Was bei dir bleibt

Technik bringt dich weit, aber ein paar Dinge bleiben deine: install.php nach dem Setup löschen, eine Kopie von secret-key.bin getrennt von den Backups aufbewahren und HTTPS nutzen. Haloo erinnert dich im Panel an jedes.

Das Fazit

Sicherheit sollte nicht schwer sein — sie sollte Standard sein. Haloo errichtet die wichtigen Barrieren von Anfang an, damit du dich um Inhalte kümmerst, nicht um Lücken.