Saas Security Checklist

SaaS Security Checklist

Sicherheits-Checklist speziell fuer SaaS-Anwendungen mit Next.js, Supabase und Stripe. Jedes Finding referenziert das Repo, in dem das Anti-Pattern gefunden wurde.

Abgrenzung zum security-scanner Skill: Der security-scanner deckt allgemeine OWASP Top 10 ab. Dieser Skill ist SaaS-spezifisch: Subscription-Autorisierung, Payment-Webhook-Security, Supabase-RLS, Multi-Tenant-Isolation. Fuer vollstaendige Abdeckung BEIDE Skills zusammen verwenden.

Scoring Rubric

Nach Durchlauf der Checklist, Score berechnen:

1. Authentication Layer

Kritische Findings aus Repo-Analyse

Checklist

• @supabase/ssr verwendet (NICHT deprecated @supabase/auth-helpers-nextjs)
• Middleware-basierter Route-Schutz (NICHT nur Layout-Level-Redirects)
• getUser() statt getSession() fuer Server-seitige Validierung
• Alle Password-Felder als type="password"
• JWT Secrets aus Environment-Variablen (NIEMALS hardcoded)
• Maintained JWT Library (PyJWT oder joserfc, NICHT python-jose)
• Session Cookies: HttpOnly, Secure, SameSite=Lax
• OAuth State-Parameter validiert im Callback
• MFA-Support mindestens fuer Admin-Accounts
• Account-Lockout nach N fehlgeschlagenen Versuchen
• Sicherer Password-Reset-Flow (zeitlich limitierte Tokens)
• Rate Limiting auf Auth-Endpoints

2. Row Level Security (Supabase)

Kritische Findings

Checklist

• RLS AKTIVIERT auf JEDER Tabelle mit User-Daten
• SELECT Policies: User kann nur eigene Daten lesen
• INSERT Policies: user_id wird aus auth.uid() gesetzt, nicht vom Client
• UPDATE Policies: User kann nur eigene Records aendern
• DELETE Policies: User kann nur eigene Records loeschen
• Service Role NUR in server-seitigem Code (Webhooks, Server Actions)
• anon-Rolle hat MINIMALE Permissions
• Kein RLS-Bypass via direkten Tabellenzugriff
• RLS-Policies getestet: Versuch, fremde Daten zu lesen
• Trigger-Functions nutzen SECURITY DEFINER mit explizitem search_path
• CREATE TRIGGER Statement in Migrations vorhanden
• Storage-Buckets mit user-spezifischen Pfaden und RLS

3. Payment Security (Stripe)

Checklist

• STRIPE_SECRET_KEY nur server-side (KEIN NEXT_PUBLIC_ Prefix)
• Webhook-Signatur auf JEDEM Event verifiziert (constructEvent)
• Webhook-Endpoint nutzt Raw Body (nicht JSON-parsed) fuer Signatur
• Idempotente Webhook-Verarbeitung (Event-ID pruefen)
• Subscription-Status server-side geprueft (nicht client-side)
• Price IDs gegen erlaubte Liste validiert
• Customer Portal Session server-side erstellt mit authentifiziertem User
• Keine Subscription-Daten in localStorage oder Client-State
• Grace Period bei Payment Failure (nicht sofort sperren)
• Stripe CLI fuer lokales Webhook-Testing konfiguriert
• SUPABASE_SERVICE_ROLE_KEY nur in Webhook-Handler, nie im Client

4. Secrets Management

Kritische Findings

Checklist

• Alle Secrets in Environment-Variablen (NIEMALS im Code)
• .env Dateien in .gitignore
• .env.example mit Placeholder-Werten (nie echte Secrets)
• Keine AWS Account IDs, ARNs oder API Keys in Code oder CI-Manifesten
• Production-Secrets in AWS Secrets Manager / Vault / Supabase Vault
• Secret-Rotation bei Verdacht auf Exposure
• Git-History clean (git-filter-repo wenn noetig)
• CI/CD nutzt GitHub Secrets oder Equivalent
• Keine Secrets in Docker-Images oder Build-Logs
• SUPABASE_SERVICE_ROLE_KEY nicht in Client-bundles

5. HTTP Security Headers

Findings

Checklist

• Content-Security-Policy Header konfiguriert
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY (oder CSP frame-ancestors)
• Strict-Transport-Security (HSTS)
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy: Camera, Microphone, Geolocation einschraenken
• CORS: Explizite Origins, KEIN Wildcard * in Production
• CSRF-Schutz auf allen state-mutierenden Endpoints

Next.js Header-Konfiguration

// next.config.ts
const securityHeaders = [
  { key: "X-Content-Type-Options", value: "nosniff" },
  { key: "X-Frame-Options", value: "DENY" },
  { key: "X-XSS-Protection", value: "1; mode=block" },
  { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
  { key: "Permissions-Policy", value: "camera=(), microphone=(), geolocation=()" },
  {
    key: "Content-Security-Policy",
    value: "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self' https://*.supabase.co wss://*.supabase.co https://api.stripe.com;",
  },
];

6. Input Validation

Checklist

• Alle API-Inputs validiert mit Zod (Frontend) + Pydantic (Backend)
• File-Uploads: Typ, Groesse, Inhalt validiert (nicht nur Extension)
• SQL: ORM oder parametrisierte Queries (NIEMALS String-Concatenation)
• Kein eval(), kein dangerouslySetInnerHTML ohne Sanitization
• Rate Limiting auf oeffentlichen Endpoints (Auth, API, Webhooks)
• Request-Size-Limits konfiguriert
• User-generierter Content escaped vor Rendering
• Redirect-URLs validiert (keine Open Redirects)

7. Dependency Security

Findings

Checklist

• Keine deprecated Libraries (@supabase/auth-helpers, python-jose, vm2)
• Keine unmaintained Libraries (letztes Update >2 Jahre)
• Dependabot oder Renovate konfiguriert
• Lock Files committed (package-lock.json / pnpm-lock.yaml / poetry.lock)
• TypeScript strict: true
• Alle Dependencies in package.json/requirements.txt gelistet
• npm audit / pip-audit zeigt keine Critical/High Findings
• Keine bekannten CVEs in direkten Dependencies

8. DSGVO/GDPR Compliance

Findings

Checklist

• Cookie-Consent-Banner VOR jeglichem Tracking
• Analytics nur nach Consent geladen
• Kein PII in Logs (Namen, Emails, IPs) -- structlog/Pino, NICHT console.log
• Daten-Export-Endpoint fuer User (DSGVO Art. 20)
• Account-Loeschung-Endpoint (DSGVO Art. 17 -- Recht auf Vergessen)
• Privacy Policy und Terms of Service Seiten vorhanden
• Auftragsverarbeitungsvertrag mit allen Sub-Prozessoren
• Server-Standort dokumentiert (EU bevorzugt fuer EU-Kunden)
• Supabase-Projekt in EU-Region wenn EU-Kunden bedient werden
• Keine PII an Drittanbieter ohne Consent

9. Logging & Monitoring

Findings

Checklist

• Kein console.log/print() in Production-Code
• Structured Logging (structlog fuer Python, Pino fuer Node.js)
• Kein PII in Log-Output
• Auth-Events geloggt (Login, Logout, Failed Attempts, Password Reset)
• Payment-Events geloggt (Subscription Changes, Webhook Failures)
• Error Tracking (Sentry) mit PII Scrubbing aktiviert
• Alerting fuer: Auth-Anomalien, Webhook-Failures, Subscription-Fehler
• Observability tatsaechlich eingebunden (nicht nur definiert)

10. Frontend Security

Checklist

• Kein dangerouslySetInnerHTML ohne DOMPurify Sanitization
• Keine sensitiven Daten in localStorage (Tokens, PII)
• API Keys mit NEXT_PUBLIC_ Prefix sind wirklich public-safe
• STRIPE_SECRET_KEY hat KEINEN NEXT_PUBLIC_ Prefix
• Error Messages leaken keine internen Details
• Source Maps deaktiviert in Production
• Keine Credentials in Frontend-Bundles
• Image-Quellen via next/image mit allowedDomains

11. Infrastructure Security

Checklist

• HTTPS everywhere (kein HTTP in Production)
• Environment-spezifische Konfiguration (dev/staging/prod)
• Kein Debug Mode in Production
• Datenbank-Verbindung verschluesselt (SSL)
• Backup-Strategie fuer Datenbank
• Incident Response Plan dokumentiert
• Deployment via CI/CD (kein manuelles Deployment)
• Keine Default-Credentials in Production

12. Multi-Tenancy Security (wenn zutreffend)

Checklist

• Tenant-Isolation auf Datenbank-Ebene (RLS mit Org-ID)
• Kein Cross-Tenant Data Leakage
• Tenant-ID in jedem Query validiert
• Admin-Aktionen auf eigenen Tenant beschraenkt
• Invite-System validiert Email-Domain (wenn gewuenscht)
• Tenant-Wechsel invalidiert Cache

Quick Audit Command

Fuer eine schnelle erste Einschaetzung:

# 1. Check for hardcoded secrets
grep -rn "sk_live\|sk_test\|whsec_\|secret.*=.*['\"]" --include="*.ts" --include="*.tsx" --include="*.py" src/ app/ api/

# 2. Check for console.log in production code
grep -rn "console\.log\|console\.error" --include="*.ts" --include="*.tsx" src/ app/ | grep -v "node_modules" | grep -v ".test."

# 3. Check for missing RLS
# In Supabase SQL Editor:
SELECT tablename FROM pg_tables WHERE schemaname = 'public' AND NOT rowsecurity;

# 4. Check for deprecated packages
npm ls @supabase/auth-helpers-nextjs 2>/dev/null && echo "DEPRECATED: auth-helpers found"
pip list 2>/dev/null | grep python-jose && echo "DEPRECATED: python-jose found"

# 5. Check TypeScript strict mode
grep '"strict"' tsconfig.json

# 6. Check for type="text" on password fields
grep -rn 'type="text"' --include="*.tsx" src/ app/ | grep -i pass

Output Format

Nach der Audit, fasse so zusammen:

## SaaS Security Audit

**Score:** X/100 (RATING)
**Datum:** YYYY-MM-DD

### Kritische Findings (sofort fixen)
1. [Finding + Repo-Referenz]
2. ...

### Hohe Findings (vor Production fixen)
1. [Finding]
2. ...

### Mittlere Findings (nach Launch fixen)
1. [Finding]
2. ...

### Positiv (bereits gut)
1. [Was bereits richtig gemacht wird]
2. ...

### Empfohlene Reihenfolge
1. [Wichtigstes Fix zuerst]
2. ...