Technik
Technik und Sicherheit.
Ein Blick unter die Haube, ohne Interna zu verraten, die Stokk angreifbar machen würden.
App
Stokk ist eine mobile App für iOS und Android, geschrieben in TypeScript mit einem plattformübergreifenden Framework. Dadurch bekommen beide Plattformen dieselben Funktionen.
Backend
Datenbank, Anmeldung, Dateispeicher und Serverfunktionen laufen bei Supabase in der EU (Frankfurt). Kursdaten werden serverseitig zwischengespeichert und regelmäßig aktualisiert.
Sicherheitsprinzipien
Datenschutz ist Architektur.
Beträge verlassen die Datenbank nicht
Ist „Beträge verbergen“ an, werden Euro-Beträge für andere serverseitig ersetzt, bevor Daten ausgeliefert werden. Die App versteckt sie nicht erst nachträglich.
Zugriffsregeln in der Datenbank
Wer was sehen und ändern darf, ist in der Datenbank geregelt, nicht nur in der App. Sensible Felder lassen sich nicht über die App-Schnittstelle umgehen.
Bot-Schutz bei Anmeldung
Login, Registrierung und Passwort-Reset sind durch eine Bot-Prüfung geschützt. Passwörter werden sicher gehasht gespeichert.
Verschlüsselte Übertragung
Die App spricht mit allen Diensten über verschlüsselte Verbindungen (TLS). Stokk setzt keine eigene Kryptografie ein.
Private Dateien bleiben privat
Chat-Anhänge und Notiz-Anhänge liegen in nicht öffentlichen Speichern. Zugriff haben nur die Beteiligten.
Missbrauch begrenzen
Es gibt Limits gegen Spam und Massen-Anfragen, Funktionen zum Blockieren und Melden sowie Moderation.
Einwilligung für Analyse
Nutzungsanalyse und Fehlerberichte laufen nur, wenn du einwilligst. Du kannst die Einwilligung jederzeit in den Einstellungen widerrufen. Es gibt keine Werbe-IDs und keine Werbe-SDKs.
Deine Daten, deine Kontrolle
Du kannst deine Daten exportieren und dein Konto in der App löschen.
Aus Sicherheitsgründen veröffentlichen wir keine Details wie Projektkennungen, Schnittstellen, Datenbankstrukturen oder Konfigurationen. Eine verantwortungsvolle Meldung von Schwachstellen ist willkommen.
Datenquellen und Dienste
Wer an Stokk beteiligt ist.
Kursdaten stammen von Yahoo Finance mit Finnhub als Ausweichquelle, Krypto-Daten von CoinGecko. Stokk zeigt aktuelle Kurse, die leicht verzögert sein können.
| Dienst | Zweck | Hinweis |
|---|---|---|
| Supabase | Datenbank, Anmeldung, Dateispeicher, Live-Funktionen, Serverfunktionen | Betrieb der App |
| Cloudflare Turnstile | Bot-Schutz bei Login, Registrierung und Passwort-Reset | Betrieb der App |
| PostHog (EU-Cloud) | Nutzungsanalyse | nur mit Einwilligung |
| Sentry (Functional Software, Inc.) | Fehler- und Absturzberichte | nur mit Einwilligung |
| Expo Push Service | Zustellung von Push-Nachrichten | Push nur nach Systemfreigabe |
| Apple Push (APNs) / Google Push (FCM) | Transport der Push-Nachrichten aufs Gerät | Push nur nach Systemfreigabe |
| Anmeldung mit Apple | Optionale Anmeldung | [TODO: Lukas prüft, ob aktiv] |
| Anmeldung mit Google | Optionale Anmeldung | [TODO: Lukas prüft, ob aktiv] |
| Yahoo Finance | Kurse, Charts, Suche, Kennzahlen | Marktdaten |
| Finnhub | Ausweichquelle für Kurse, Nachrichten | Marktdaten |
| CoinGecko | Kryptokurse, Suche, Stammdaten | Marktdaten |
| Financial Modeling Prep | Logos von Aktien und ETFs (Bilder) | Bildabruf aus der App |
| jsDelivr (CDN) | Logos von Kryptowährungen (Bilder) | Bildabruf aus der App |
| iShares (BlackRock) | Öffentliche Liste großer US-Aktien, um Kurse vorzuhalten | nur serverseitig |
| Resend | E-Mail-Versand (z. B. Antworten auf Gast-Anfragen, geplant auch Anmelde-E-Mails) | [TODO: noch nicht eingerichtet, Status prüfen] |
| Nachrichten-Quellen (Verlage) | Artikel im In-App-Reader anzeigen | beim Öffnen eines Artikels |
Die Details zu verarbeiteten Daten stehen in der Datenschutzerklärung.