Jede Kontrolle unten steckt im Code, nicht in einer Roadmap. Noch ist nichts ausgerollt. Wir nennen, was wir tun und was nicht, denn die Lücken gehören zur Architektur – sie sind nichts, was noch zu füllen wäre.
Anfügungssicheres Ledger von Bauart
Aufzeichnungseinträge sind inhaltsadressiert und verkettet. Der Hash jedes Eintrags schließt den Hash des vorherigen Eintrags ein. Das Ändern oder Löschen eines Eintrags bricht die Kette – bei der nächsten Verifikation erkennbar.
Workspace-bezogene Tokens, keine geteilten API-Schlüssel
Surface- und Gateway-Token gelten für einen Workspace. Verloren oder rotiert, betrifft es nur ihn. Ein Token kann per DPoP gebunden sein, sodass eine gestohlene Kopie ohne Client-Schlüssel abgelehnt wird.
Ein Mitarbeiter-Lesezugriff auf Ihr Konto landet in Ihrem Ledger, nicht nur in unserem
Die Mitarbeiter-Admin-Konsole existiert für legitime operative Arbeit – Incident-Triage, Abrechnungsabgleich, Missbrauchsabwehr. Öffnet ein Mitarbeiter Ihr Konto oder eines Ihrer Abonnements, wird ein anfügungssicherer admin_read-Eintrag in die Tops-Kette Ihres eigenen Workspace geschrieben, mit Operator, Oberfläche und Datensatz. SQLite-Trigger erzwingen Anfügungssicherheit auf Datenbankebene, sodass selbst die Admin-Konsole den Trail ihrer eigenen Handlungen nicht umschreiben kann – und der Eintrag wird über einen signierten Kanal, den kein Kunde besitzt, als Plattform-Herkunft gestempelt, sodass ihn auch niemand fälschen kann. Massen-Sweeps ohne konkreten Kundenbezug werden stattdessen in unserer Provider-Audit-Kette erfasst; uns ist ein aussagekräftiges Ledger lieber als ein aufgeblähtes. Die 9 Infrastructure-Arten sind je Workspace kundenkonfigurierbar (Env-Filter, Sampling-Raten, Umschalter pro Art) – mit Kill-Switch-Boden auf die Handlungen, die stets aufgezeichnet werden müssen.
Jurisdiktionsgebundener Datenpfad
Wählen Sie bei der Erstellung eine Region. Die drei europäischen Regionen speichern unter Cloudflares EU-Jurisdiktion: Cloudflare hält die Daten in der EU und wählt das Rechenzentrum; Regional Services hält die Rechenleistung in der Jurisdiktion. Checkpoints signieren unter WEUR oder ENAM.
Verschlüsselung bei Übertragung und im Ruhezustand
TLS 1.3 für allen Kundenverkehr. D1, Aurora und R2 verschlüsseln ruhende Daten mit anbieterverwalteten Schlüsseln; Checkpoint-Schlüssel liegen in Cloudflare Secrets, Upstream-Zugangsdaten sind unter einem Key-Encryption-Key versiegelt.
Keine Drittanbieter-Telemetrie auf Kundendaten
Kein Dritt-APM und keine Analytics sehen Inhalte von Kundeneinträgen. Die Marketing-Site nutzt nur cookielose, aggregierte Seitenaufruf-Analytics, wo aktiviert.
Datenbank-Isolation je Plan
Free- und Starter-Workspaces teilen eine regionale Cloudflare-D1-Datenbank, jedes Lesen und Schreiben trägt die Workspace-ID; Pro, Pro+ und Team erhalten jeweils einen eigenen, separaten Speicher auf Cloudflare in der gewählten Region, einen je Workspace, mit strikter Mandantenisolation, im Plan enthalten. Scale, Enterprise und das Isolations-Add-on erhalten eine eigene Amazon-Web-Services-Aurora-Datenbank für den Workspace, ohne geteiltes Schema.
Personalzugriff protokolliert
Jeder Datenebenen-Lesezugriff durch Mitarbeiter schreibt einen Tops-Eintrag gegen den betroffenen Workspace, mit der Identität des Mitarbeiters, dem Zeitstempel und dem Grund. Die Admin-Konsole authentifiziert über Cloudflare Access + WebAuthn pro Administrator + API-Tokens pro Admin. Anbieterseitiger Admin-Zugriff (Cloudflare-Admin, AWS-Admin) wird beim Anbieter protokolliert.
