Das Figma-Plugin wird direkt von den Servern von Figma ausgeführt und läuft in deiner Figma-Datei. Damit erbt es die gesamte Sicherheit und Infrastruktur der Figma-Plattform, die über die Branchenstandards für Datenschutz und Sicherheit hinausgehen:

• SOC 2 Type 2
• SOC 3
• Cloud Security Alliance (CSA) STAR: Level 1
• ISO/IEC 27001:2013
• ISO/IEC 27018:2019
• EU Cloud Code of Conduct (COC): Level 2

Für das Figma-Plugin musst du keine zusätzliche Software installieren, denn Figma-Plugins laufen als fester Bestandteil der nativen Funktionen von Figma. Alle Figma-Plugins sind zugänglich und lassen sich sofort in jeder Figma-Datei oder über das offizielle Ökosystem der Figma Community in der Figma-App ausführen.

Wenn deine Organisation Figma bereits freigegeben hat, hast du schon Zugriff auf Figma-Plugins.

So funktioniert Commentful

Das Commentful-Plugin für Figma nutzt die Figma Plugins API und die Figma REST API, um die Figma-Kommentare aus deiner aktuellen Datei zu laden und sie in der Oberfläche des Plugins organisierbar zu machen.

Außerdem können Nutzer eine To-do-Liste mit Aufgaben führen. Sie wird über die Figma Plugins API in der Figma-Datei selbst gespeichert und niemals außerhalb des Plugins hochgeladen, gespeichert oder verwendet.

Optional kannst du auch „Review“-Links erstellen: passwortgeschützte URLs, die Nutzer (wenn sie möchten) mit beliebigen Stakeholdern teilen können. So können diese über die Commentful-Web-App Feedback zu Designs geben, ohne ein Figma-Konto zu brauchen.

Alle Uploads und Cloud-Speicherdienste, die das Commentful-Plugin und die Commentful-Web-App nutzen, werden über Google Firebase auf Google Cloud gehostet (derselben Infrastruktur, auf der Google alle eigenen Produkte hostet).

Laut Privacy and Security in Firebase haben alle Firebase-Dienste (außer App Indexing) die Bewertungsverfahren nach ISO 27001 sowie SOC 1, SOC 2 und SOC 3 erfolgreich abgeschlossen, und einige haben zusätzlich die Zertifizierung nach ISO 27017 und ISO 27018 durchlaufen.

Was Commentful tut und was nicht

Commentful nutzt die Figma Plugins API und die Figma REST API, um die Figma-Kommentare aus deiner aktuellen Datei zu laden und sie in der Oberfläche des Plugins organisierbar zu machen.

Was Commentful tut

• Nutzer können ihre Figma-Datei über die offizielle Figma REST API mit dem Plugin verbinden, um im Namen des aktuellen Figma-Nutzers Figma-Kommentare in der aktuellen Datei zu lesen und zu posten.
• Alle hochgeladenen Bilder werden mit AES-256 verschlüsselt.
• Exporte von Kommentaren, To-dos und Feedback werden als CSV-Dateien direkt auf den Computer des Nutzers heruntergeladen.
• Nutzer können optional passwortgeschützte „Review“-Links erstellen und mit Stakeholdern teilen.

Was Commentful nicht tut

• Es teilt keine Kommentare, To-dos oder andere Daten aus deinem Figma-Design.
• Es macht keine über das Plugin erstellten, passwortgeschützten „Review“-URLs öffentlich zugänglich und lässt sie von keiner Suchmaschine indexieren.
• Es erfasst oder speichert keine personenbezogenen Daten (Figma-Plugins können nicht auf private Informationen über Figma-Projekte, Figma-Teams oder Figma-Nutzer zugreifen).

So funktionieren Figma-Plugins

Figma-Plugins sind in HTML/CSS/Javascript geschrieben und laufen in einer streng kontrollierten Sandbox-Umgebung innerhalb der Figma-Hauptanwendung.

Figma-Plugins können nur das tun, was Figma ihnen im Rahmen der Berechtigungen der Figma Plugins API erlaubt. Vor allem haben Plugins keinerlei Zugriff auf personenbezogene Daten des Figma-Nutzers, der das Plugin ausführt.

Was Figma-Plugins können und was nicht

Laut dem Artikel zur Sicherheit von Figma-Plugins können Figma-Plugins nur eine begrenzte Zahl von Dingen tun und viele andere nicht:

Figma-Plugins können

• nur durch eine ausdrückliche Aktion des Nutzers ausgeführt werden
• eine Oberfläche in einem einzigen, Plugin-eigenen Dialog anzeigen
• alle Daten in deinem Figma-Dokument lesen (zum Beispiel ein Plugin, das „Ebenen nach Namen findet“)
• alle Daten in deinem Figma-Dokument ändern (zum Beispiel ein Plugin, das „ausgewählte Ebenen umbenennt“)
• über das Internet mit beliebigen Servern kommunizieren (zum Beispiel ein Plugin für den „Import aus Dienst X“)

Figma-Plugins können nicht

• von selbst laufen
• Informationen über das Projekt oder Team abrufen, dem die Datei gehört
• auf irgendetwas zugreifen, während sie nicht laufen
• auf Daten aus anderen Dateien als der zugreifen, in der sie ausgeführt wurden
• die Oberfläche von Figma außerhalb des Plugin-Dialogs verändern

Figma-Kontoadministratoren in deinem Unternehmen können eine Allowlist für Plugins einrichten, die in der Organisation erlaubt sind. So lässt sich verhindern, dass nicht vertrauenswürdige Figma-Plugins in einer Datei dieser Organisation ausgeführt werden.