Für die BKF-Parkplatzkarte wurde ein gezieltes Security-Update ausgerollt. Fokus war: weniger Angriffsfläche, saubereres Secret-Handling und stabilere Update-Abläufe im Betrieb.
Direkt zur Karte: BKF-Parkplatzkarte
Was wurde geändert?
1. Update-Endpunkt abgesichert
- Token liegt nicht mehr fest im Code.
- Authentifizierung läuft jetzt primär über Header (
X-Update-Token) bzw. Bearer-Header. - Standardaufruf ist auf
POSTbegrenzt. - Legacy-Query-Token ist nur noch optional und explizit per Env-Flag aktivierbar.
2. Informationslecks reduziert (Backend)
- Interne Pfade und Detailfehler werden im Normalbetrieb nicht mehr nach außen gegeben.
- Erweiterte Debug-Details erscheinen nur noch, wenn Debug explizit aktiv ist.
3. Installationshinweis jetzt strikt auf Parkplatzkarte begrenzt
- Der PWA-Installationshinweis wird nur noch im Kontext der Parkplatzkarte ausgeliefert.
- Kein globales Erscheinen mehr beim bloßen Aufruf anderer Seiten.
- Zusätzlich bleibt die bestehende Karten-/Nutzungslogik aktiv, damit der Hinweis weiterhin nur kontextsensitiv angezeigt wird.
4. Link-Härtung in der Karten-UI
- Externe Links aus Kartendaten werden vor Ausgabe auf erlaubte Protokolle geprüft.
- Für neue Tabs wurde die
rel-Absicherung (noopener noreferrer) konsequent ergänzt.
5. Update-Skript modernisiert
- Neues Trigger-Skript für den Live-Update-Flow arbeitet mit POST + Header-Token.
- Fallback auf Legacy-Query ist nur für Übergangsphasen vorgesehen.
Ergebnis
Die Parkplatzkarte bleibt funktional unverändert im Frontend, ist aber im Hintergrund deutlich robuster und sicherer aufgestellt.
