🔒 Geprüfte Sicherheitsarchitektur Verified Security Architecture

Deine Dateien. Deine Schlüssel. Deine Kontrolle.

Your Files. Your Keys. Your Control.

Stormkey verschlüsselt deine Dateien clientseitig — mit Verschlüsselung, die in echten Wetterdaten verankert ist. Unsere Server erhalten keine Klartext-Dateiinhalte.

Stormkey encrypts your files client-side — using encryption anchored in real atmospheric data. Our servers do not receive plaintext file contents.

Wie es funktioniert
How It Works

Wetter-verankerte Verschlüsselung, einfach erklärt.

Weather-anchored encryption, simply explained.

1

Wetterdaten abrufen

Fetch Weather Data

Beim Verschlüsseln ruft Stormkey echte Wettermesswerte ab: Temperatur, Luftdruck, Windgeschwindigkeit — von verifizierten Stationen.

At encryption time, Stormkey fetches real atmospheric readings — temperature, pressure, wind speed — from verified weather stations.

2

Schlüssel ableiten

Derive the Key

Die Wetterdaten fliessen als zusätzlicher Kontext in die Schlüsselableitung (PBKDF2-SHA256) ein. Das Ergebnis: ein Schlüssel, der ohne Passwort und diesen Kontext nicht rekonstruiert werden kann.

Weather data is included as additional context in key derivation (PBKDF2-SHA256). The result is a key that cannot be reconstructed without the password and this context.

3

Lokal verschlüsseln

Encrypt Locally

AES-256-GCM Verschlüsselung findet vollständig im Browser statt. Deine Datei verlässt dein Gerät nie unverschlüsselt.

AES-256-GCM encryption happens entirely in your browser. Your file never leaves your device unencrypted.

4

Sicher teilen

Share Securely

Der Empfänger erhält die verschlüsselte Datei plus Wetterkontext-Metadaten. Nur wer beide Teile hat, kann entschlüsseln.

The recipient gets the encrypted file plus weather-context metadata. Only someone with both pieces can decrypt.

Sicherheitsgarantien
Security Guarantees

Konkrete Sicherheitsversprechen.

Concrete security claims.

Kein Marketing-Blabla. Echte, überprüfbare technische Massnahmen.

No marketing speak. Real, verifiable technical measures.

🔐

AES-256-GCM

Authentifizierte Verschlüsselung nach Industriestandard. Schützt sowohl Vertraulichkeit als auch Integrität deiner Dateien.

Authenticated industry-standard encryption. Protects both confidentiality and integrity of your files.

🛡️

Schlüsselableitung

Schlüsselableitung für Datei-Verschlüsselung: PBKDF2-SHA256 mit hoher Iterationszahl, kombiniert mit AES-GCM für lokale Browser-Verschlüsselung. Account-Passwörter werden serverseitig separat gehasht; diese Schicht ist von der lokalen Datei-Verschlüsselung getrennt.

Key derivation for file encryption: PBKDF2-SHA256 with a high iteration count, combined with AES-GCM for local browser encryption. Account passwords are hashed separately server-side; that layer is separate from local file encryption.

👁️

Clientseitige Kontrolle

Client-Side Control

Dateiinhalte werden vor dem Upload lokal verschluesselt. Unsere Server erhalten keine unverschluesselten Dateiinhalte.

File contents are encrypted locally before upload. Our servers do not receive plaintext file contents.

💻

Clientseitige Verschlüsselung

Client-Side Encryption

Alles passiert in der Browser-Extension. Kein Upload unverschlüsselter Daten an unsere Server.

Everything happens in the browser extension. No upload of unencrypted data to our servers.

☁️

Kein Klartext-Storage

No Plaintext Storage

Verschluesselte Dateiobjekte koennen fuer Sharing temporaer gespeichert werden; Klartext-Dateien werden nicht serverseitig gespeichert.

Encrypted file objects may be stored temporarily for sharing; plaintext files are not stored server-side.

🌩️

Wetter-Entropie

Weather Entropy

Echte atmosphärische Messwerte erhöhen die Schlüsselentropie über das hinaus, was reine Software-RNGs liefern.

Real atmospheric readings increase key entropy beyond what software-only RNGs can provide.

Signierte Extension

Signed Extension

Die Chrome Extension wird über den Chrome Web Store verteilt und ist dort als Stormkey veröffentlicht.

The Chrome extension is distributed through the Chrome Web Store and is published there as Stormkey.

🔒

TLS & HSTS

Stormkey läuft über HTTPS; HSTS ist für sichere Produktionsverbindungen aktiviert.

Stormkey runs over HTTPS; HSTS is enabled for secure production connections.

Rate Limiting & Brute-Force-Schutz

Rate Limiting & Brute-Force Protection

Login-Versuche, Verifikationsanfragen und API-Calls sind rate-limitiert. Automatische Sperrung bei Missbrauch.

Login attempts, verification requests, and API calls are rate-limited. Automatic lockout on abuse.

🇨🇭

DSGVO / GDPR

Hosting und Verarbeitung erfolgen über ausgewählte Dienstleister wie Render, Neon, Cloudflare R2, Resend und Stripe, mit Fokus auf EU/Schweiz-taugliche Konfiguration.

Hosting and processing use selected providers such as Render, Neon, Cloudflare R2, Resend, and Stripe, with EU/Swiss-suitable configuration as the target.

Daten & Privatsphäre
Data & Privacy

Was wir speichern — und was nicht.

What we store — and what we don't.

✅ Was wir speichern

✅ What we store

  • E-Mail-Adresse (Account & Benachrichtigungen)
  • Email address (account & notifications)
  • Passwort-Hash (scrypt, niemals Klartext)
  • Password hash (scrypt, never plaintext)
  • Wetterstation-ID & Zeitstempel der Verschlüsselung
  • Weather station ID & encryption timestamp
  • Verifikations-Token (kurzlebig, 24h)
  • Verification token (short-lived, 24h)

❌ Was wir NICHT speichern

❌ What we DON'T store

  • Dateiinhalte im Klartext (niemals serverseitig gespeichert)
  • Plaintext file contents (never stored server-side)
  • Private Schlüssel
  • Private keys
  • Klartextpasswörter
  • Plaintext passwords
  • IP-Adressen (nur transient für Rate-Limiting)
  • IP addresses (transient rate-limiting only, not persisted)
  • Browser-Fingerprints oder Tracking-Daten
  • Browser fingerprints or tracking data
FAQ
FAQ

Häufige Fragen zu Sicherheit und Versand.

Frequently asked questions about security and sharing.

🔐

Sieht Stormkey meine Datei im Klartext?

Does Stormkey see my file in plaintext?

Nein. Datei-Verschlüsselung und Entschlüsselung laufen im Browser. Der Server verarbeitet keine Klartextdateien oder abgeleiteten Datei-Schlüssel; separate Sharing-Secrets wie Passwort-Links können je nach Flow verarbeitet werden.

File encryption and decryption happen in the browser. The server does not process plaintext file contents or derived file-encryption keys; separate sharing secrets may be processed for the selected flow.

📨

Wie sollte ich das Passwort teilen?

How should I share the password?

Datei-Link und Passwort-Link sollten über getrennte Kanäle laufen, zum Beispiel Datei per E-Mail und Passwort-Link via Messenger, Telefon oder zweitem Kanal.

File link and password link should use separate channels, for example file by email and password link by messenger, phone, or a second channel.

🌦️

Warum nutzt Stormkey Wetterdaten?

Why does Stormkey use weather data?

Der Wetter-Moment ergänzt das Passwort um einen vergänglichen Kontextanker. Entscheidend bleibt: Ohne korrektes Passwort und passenden Kontext kann die Datei nicht geöffnet werden.

The weather moment adds a fleeting context anchor to the password. The key point remains: without the correct password and matching context, the file cannot be opened.

Sicherheitslücke gefunden?

Found a Vulnerability?

Melde es vertraulich an unser Security-Team. Wir priorisieren Sicherheitsmeldungen und nehmen jeden validierten Fund ernst.

Report it confidentially to our security team. We prioritize security reports and take every validated finding seriously.

contact@stormkey.app

Validierte Funde werden im Security Hall of Fame anerkannt.

Validated findings are credited in our Security Hall of Fame.