Der September war ein Monat, in dem wir leise Türen geschlossen haben. Das meiste, was wir ausgeliefert haben, ist die Art von Arbeit, die man erst bemerkt, wenn sie fehlt: eine Anmeldung, die sich nicht gegen Sie wenden lässt, Änderungen an der Zwei-Faktor-Authentifizierung, die jede andere Sitzung beenden, E-Mail- und Passwortänderungen, die eine klare Spur hinterlassen, und hochgeladene Dateien ohne die versteckten Angaben, die sie mit sich tragen. Wer jemanden zu einer Organisation hinzufügt, beginnt jetzt mit einer Einladung statt mit einem Konto, E-Mail-Ordner öffnen sich schneller, und Benachrichtigungen kommen endlich in Ihrer eigenen Sprache an. Hier ist der vollständige Überblick.
Eine Anmeldung, die sich nicht gegen Sie wenden lässt
Wiederholte fehlgeschlagene Anmeldeversuche können nicht mehr genutzt werden, um jemanden aus dem eigenen Konto auszusperren. Der Anmeldeschutz begrenzt jetzt die Quelle der Versuche und nicht das angegriffene Konto, sodass die Kenntnis einer E-Mail-Adresse nicht mehr ausreicht, um deren Inhaber an der Anmeldung zu hindern. Fehlgeschlagene Versuche verfallen außerdem in einem gleitenden Zeitfenster, sodass ein längst vertipptes Passwort nicht mehr zu einer späteren Sperre beiträgt, und eine erfolgreiche Anmeldung setzt den Zähler zurück. Sicherheitswarnungen per E-Mail zu gesperrten Konten sind pro Empfänger begrenzt, sodass sie nicht zum Überfluten eines Postfachs genutzt werden können. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Die Antwort bei der Anmeldung verrät nicht mehr, ob eine E-Mail-Adresse zu einem bestehenden Konto gehört, und die Registrierung verhält sich jetzt genauso. Sie antwortet gleich, ob die Adresse bereits registriert ist oder nicht, und wenn sie es ist, benachrichtigen wir deren Inhaber per E-Mail. Wer vergessen hatte, dass er bereits registriert ist, erfährt es so trotzdem und kann sich anmelden, statt auf einen Bestätigungslink zu warten, der nie gekommen wäre. Das Anfordern eines neuen Einladungslinks konnte dasselbe verraten und wurde gleich mit geändert. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Registrierung mit Google und Trennen des Google-Kontos
Die Registrierung mit Google läuft jetzt vollständig über den verifizierten Google-Handshake, sodass ein Konto nur für eine Adresse erstellt werden kann, die Google als der sich registrierenden Person zugehörig bestätigt hat. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet. Registrierung und Anmeldung mit Google sind jetzt genauso ratenbegrenzt wie die Registrierung mit E-Mail-Adresse und Passwort, und dieselben Regeln dazu, welche E-Mail-Domains ein Konto anlegen dürfen, gelten nun auch für die Google-Registrierung.
Das Trennen eines Google-Kontos verlangt jetzt zuerst Ihr Passwort und beendet danach Ihre übrigen Sitzungen. Außerdem erhalten Sie eine E-Mail, sobald ein Google-Konto getrennt wird, sodass Sie von einer Trennung, die nicht von Ihnen stammt, sofort erfahren.
Zwei-Faktor-Authentifizierung
Beim Aktivieren oder Deaktivieren der Zwei-Faktor-Authentifizierung melden wir Sie jetzt auf Ihren anderen Geräten ab, damit eine bereits offene Sitzung danach nicht weiterlaufen kann. Dort, wo Sie die Änderung vorgenommen haben, bleiben Sie angemeldet, und wir nennen Ihnen die Anzahl der beendeten Sitzungen. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet. Für das Deaktivieren der Zwei-Faktor-Authentifizierung und das Ersetzen Ihrer Wiederherstellungscodes bitten wir Sie jetzt zuerst um eine Bestätigung Ihrer Identität.
Die Mobilnummer, die Ihre Sicherheitscodes erhält, wird jetzt in den Sicherheitseinstellungen geändert. Dort bestätigen Sie zuerst Ihre Identität und verifizieren dann die neue Nummer mit einem an sie gesendeten Code. Bis zu dieser Bestätigung gehen Ihre Codes weiterhin an Ihre bisherige Nummer. Sobald sich die Nummer ändert, informieren wir Sie und melden Sie aus Ihren anderen Sitzungen ab, sodass eine Änderung, die nicht von Ihnen stammt, sofort auffällt. Solange die Zwei-Faktor-Authentifizierung aktiv ist, lässt sich die Nummer nicht mehr im Profil bearbeiten. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Außerdem haben wir behoben, dass das Speichern Ihres Profils in der mobilen App genau diese Nummer löschte. Bei einem Konto mit aktiver Zwei-Faktor-Authentifizierung blieb dadurch bei der nächsten Anmeldung keine Nummer übrig, an die ein Code gesendet werden konnte.
E-Mail-Änderungen und Zurücksetzen des Passworts
Für eine Änderung der E-Mail-Adresse funktioniert jetzt nur noch der neueste Bestätigungslink. Ein ersetzter Link, auch einer an eine versehentlich eingegebene Adresse, kann Ihr Konto nicht mehr verschieben, während das Korrigieren einer vertippten Adresse und die Verwendung des neuen Links genau wie bisher funktionieren. Über unser Programm zur Offenlegung von Schwachstellen gemeldet.
Eine ausstehende E-Mail-Änderung wird jetzt abgebrochen, sobald sich Ihr Passwort ändert, ob Sie es in den Sicherheitseinstellungen ändern oder nach dem Vergessen zurücksetzen. Die Wiederherstellung Ihres Kontos zieht damit auch eine bereits laufende Änderung zurück. Hatten Sie eine ausstehende Änderung, fordern Sie sie erneut an, sobald Ihr Passwort gesetzt ist. Wenn eine Änderung abgeschlossen ist, erhält die Adresse, die Sie verlassen, jetzt eine Nachricht, dass sie nicht mehr für die Anmeldung oder für das Zurücksetzen des Passworts verwendet wird. Das ergänzt den Hinweis, der bereits beim Anfordern der Änderung gesendet wird, also bevor sie wirksam wird.
Die Obergrenze für E-Mails zum Zurücksetzen des Passworts greift für ein Konto jetzt unabhängig davon, wie die Adresse geschrieben ist. Bisher zählte sie einige gleichwertige Schreibweisen derselben Adresse wie verschiedene Konten, sodass ein einzelnes Postfach mehr solcher E-Mails erhalten konnte, als die Grenze erlaubte. Eine getrennte Obergrenze begrenzt jetzt, wie viele dieser E-Mails eine einzelne Quelle auslösen kann, und zwischen Anfragen für dasselbe Konto gilt eine kurze Wartezeit. Kein Konto war dadurch gefährdet, da immer nur der neueste Link zum Zurücksetzen gültig ist, und am Zurücksetzen Ihres Passworts ändert sich nichts. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Erst die Einladung, dann das Konto
Wer jemanden zu einer Organisation hinzufügt, verschickt jetzt immer eine Einladung, und für die eingeladene Person entsteht nichts, bis sie antwortet. Hat die Adresse noch kein ISO Mate Konto, ist es das Festlegen eines Passworts über die Einladung, das das Konto anlegt und der Organisation beitritt. Eine unbeantwortete Einladung belegt damit keinen Platz mehr in Ihrer Organisation und keinen Sitz in Ihrem Abonnement, Empfänger können ablehnen, und eine Adresse, die eingeladen wurde, aber nie beigetreten ist, kann sich weiterhin selbst registrieren. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Eine Rolle, die das Verwalten von Benutzern erlaubt, erlaubt jetzt auch das Anzeigen der Rollen der Organisation. Eine Rolle zuzuweisen heißt, aus genau dieser Liste zu wählen, sodass eine Rolle mit Benutzerverwaltung, aber ohne diese Berechtigung, ausgerechnet das nicht konnte, was sie erlaubt. Mitglieder, die keine Administratoren sind, sehen beim Anzeigen der Mitglieder der Organisation außerdem keinen Berechtigungsfehler mehr. Die Liste selbst wurde immer korrekt geladen. Die Meldung entstand, weil die Seite zusätzlich die Rollen laden wollte, daher wird der Filter nach Rolle jetzt nur noch denen angeboten, die ihn nutzen können.
Uploads ohne versteckte Angaben
Bilder und Videos, die Sie hochladen, behalten die verborgenen Angaben nicht mehr, die eine Kamera in ihnen ablegt, etwa den Ort einer Aufnahme, Datum und Uhrzeit sowie das verwendete Gerät und die Software. Das gilt überall, wo Dateien hochgeladen werden, darunter das Logo Ihrer Organisation, Anhänge an Vorgängen, Testläufen, Tickets und Chat-Nachrichten, Compliance-Nachweise, in Rich Text eingefügte Bilder und Dateien an benutzerdefinierten Datensätzen. Das Bild selbst bleibt genau so, wie es war, die Qualität ist also identisch, und nichts wird neu gespeichert oder neu komprimiert. Auch vor der Änderung hochgeladene Dateien wurden bereinigt. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
PDF-Anhänge werden jetzt beim Hochladen bereinigt. Ein PDF kann Anweisungen enthalten, die beim Öffnen der Datei automatisch ausgeführt werden, und ein Dokument konnte damit ein Meldungsfenster anzeigen, das scheinbar von ISO Mate stammte und Sie zum Beispiel aufforderte, Ihr Passwort erneut einzugeben. Diese Fähigkeit wird jetzt entfernt, bevor ein PDF gespeichert wird, und ein Dokument, das sich nicht sicher bereinigen lässt, wird mit einer Erklärung abgelehnt. Bestehende Anhänge wurden mit derselben Version bereinigt. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
Datei-Uploads an benutzerdefinierten Datensätzen akzeptieren jetzt nur noch eine festgelegte Menge von Dateitypen, wie Anhänge im übrigen Produkt, und werden unter einem generierten Namen gespeichert statt unter dem Namen der Datei auf Ihrem Computer. Auch die angezeigten Dateigrößen für hochgeladene Bilder und Anhänge sind jetzt korrekt. Da Uploads beim Speichern bereinigt werden, beschrieb die erfasste Größe bisher die Datei wie eingereicht und nicht wie gespeichert.
Schnellere E-Mail
Ein neu verbundenes Postfach liefert jetzt sofort Ihre aktuellen E-Mails statt seines gesamten Verlaufs. Wenn Sie alles möchten, steht in den Einstellungen des Postfachs jederzeit eine vollständige Synchronisierung bereit. Auch das Öffnen eines E-Mail-Ordners ist schneller, und große Ordner laufen nicht mehr in eine Zeitüberschreitung.
Verfeinerungen im Helpdesk
Das Ticketformular zeigt die Beschreibung jetzt zuletzt, unter Status, Kanal, Priorität, Kategorie, zugewiesenem Agenten, Fälligkeitsdatum und Tags. Diese kürzeren Felder werden am häufigsten geändert und sind jetzt erreichbar, ohne am Editor vorbeiscrollen zu müssen.
Mit einem Ticket verknüpfte Datensätze lassen sich leichter unterscheiden. Jeder zeigt seinen Typ in einer eigenen Farbe, lange Titel bringen die Zeilen nicht mehr aus der Form, und der Status eines verknüpften Vorgangs, einer Aufgabe oder eines Vorfalls erscheint als farbiger Chip statt als einfacher Text.
Verbesserungen und Korrekturen
- Benachrichtigungen in Ihrer Sprache: Benachrichtigungen in der App kommen jetzt in der in Ihrem Profil eingestellten Sprache an. Bisher wurden sie unabhängig von Ihrer Sprachauswahl immer auf Englisch gesendet. Auch Helpdesk-Benachrichtigungen über eine neue Antwort einer anfragenden Person sind jetzt übersetzt.
- Felder für langen Text: Beschreibungen, Notizen, Kommentare und andere Felder für langen Text haben jetzt einheitliche Längengrenzen, sodass zu großer Inhalt mit einer klaren Validierungsmeldung abgelehnt wird, anstatt gekürzt zu werden oder beim Speichern unerwartet zu scheitern. Die Grenzen entsprechen dem, was jedes Feld tatsächlich aufnehmen kann, sodass bestehende Inhalte nicht betroffen sind.
- Leere Seite in der Konsole: behoben, dass die Konsole nach der Anmeldung eine leere Seite zeigen konnte, mit fehlendem Großteil des Menüs und ohne jede Erklärung. Die Konsole führt Sie jetzt immer auf eine Seite, die lädt, weist darauf hin, wenn Ihr Zugriff nicht bestätigt werden konnte, und bietet einen neuen Versuch an.
- Beendete Testphasen und Abonnements: Eine Organisation, deren Testphase oder Abonnement beendet ist, sieht jetzt eine klare Erklärung anstelle eines leeren Bildschirms. Mitglieder, die die Abrechnung nicht verwalten können, werden an einen Administrator verwiesen und können weiterhin zu einer anderen Organisation wechseln oder sich abmelden, und niemand wird mehr von genau der Prüfung, die zum Abonnieren auffordert, von der Abrechnungsseite ausgeschlossen.
- Verbleibende Testtage: behoben, dass die Anzahl der verbleibenden Tage einer kostenlosen Testphase immer um einen Tag zu niedrig war. Eine neue Organisation zeigt jetzt korrekt 14 statt 13 Tage.
- Profil speichern: Das Speichern Ihres Profils mit einem falschen aktuellen Passwort übernimmt die übrigen Änderungen nicht mehr. Bisher wurden die anderen Felder des Formulars gespeichert, obwohl die Seite ein fehlgeschlagenes Speichern meldete.
Sicherheit
Der Großteil der Arbeit im September betraf die Sicherheit, und die größeren Änderungen sind oben beschrieben. Hier ist der Rest.
- Trennung von Helpdesk-Tickets: Eine Schwachstelle wurde behoben, durch die beim Erstellen eines Support-Tickets Daten eines Kontakts oder Benutzers einer anderen Organisation zurückgegeben werden konnten. Anfragende, Zuständige und Beobachter eines Tickets werden jetzt immer innerhalb der eigenen Organisation aufgelöst. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
- Weniger personenbezogene Daten in API-Antworten: Angaben wie Telefonnummern und Sicherheitseinstellungen für die Anmeldung werden nicht mehr mitgeliefert, wenn eine Person an anderer Stelle im Produkt als Zuständige, Autor oder Mitglied erscheint. Im eigenen Profil bleiben sie sichtbar.
- Begrenzung für API-Token: Die Begrenzung aktiver API-Token greift jetzt auch dann, wenn mehrere Token-Erstellungen im selben Moment eintreffen. Bisher konnte eine Reihe gleichzeitiger Anfragen ein Konto leicht über die erlaubte Anzahl aktiver Token hinaus bringen. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
- Grenze für neue Organisationen: Die Grenze dafür, wie viele Organisationen eine Person anlegen kann, wird jetzt durchgehend durchgesetzt, auch wenn mehrere im selben Moment angelegt werden, sodass sich die Obergrenze nicht dehnen lässt, um zusätzliche kostenlose Testphasen zu sammeln. Über unser Programm zur Offenlegung von Schwachstellen gemeldet.
- Suche: Suchfelder in der gesamten Plattform behandeln Sonderzeichen in einem Suchbegriff jetzt als gewöhnlichen Text. Bisher wurden bestimmte Zeichen als Mustersyntax gelesen, sodass ein manipulierter Begriff auf jeden Datensatz einer Liste passen und die Suche weit aufwendiger machen konnte als beabsichtigt. Die Suche in Datensätzen benutzerdefinierter Objekte wurde ebenso behandelt, und ihre interne Umsetzung wurde durch ein sichereres Verfahren ersetzt.
- Listengrößen: Listen begrenzen jetzt, wie viele Datensätze eine einzelne Anfrage abrufen kann, und eine ungültige Seite oder Seitengröße lässt die Anfrage nicht mehr scheitern. Uns extern mit einem klaren, reproduzierbaren Machbarkeitsnachweis gemeldet.
- Anfragen ohne Anmeldung: Wer eine ISO Mate Webadresse ohne Anmeldung im Browser öffnet, erhält jetzt eine klare Antwort „nicht angemeldet“ statt eines Serverfehlers. Über unser Programm zur Offenlegung von Schwachstellen gemeldet.
Was als Nächstes kommt
Es ist mehr auf dem Weg, quer über die Plattform. Wenn Sie ISO Mate noch nicht ausprobiert haben, starten Sie eine kostenlose 14-tägige Testphase unter isomate.io. Ohne Kreditkarte, mit vollem Zugriff auf alles ab dem ersten Tag.
Rückmeldung? Schreiben Sie uns an support@isomate.io oder nutzen Sie das eingebaute Feedback-Portal in der Plattform. Ihre Hinweise prägen, was wir als Nächstes bauen.