Crypto-Sicherheit

Crypto läuft als offizielles Plugin in der Figma-App selbst. Solche Plugins werden vom Figma-Team geprüft und freigegeben.

Das Figma-Plugin wird direkt von den Servern von Figma ausgeführt und läuft in deiner Figma-Datei. Damit erbt es die gesamte Sicherheit und Infrastruktur der Figma-Plattform, die über die Branchenstandards für Datenschutz und Sicherheit hinausgehen:

  • SOC 2 Type 2
  • SOC 3
  • Cloud Security Alliance (CSA) STAR: Level 1
  • ISO/IEC 27001:2013
  • ISO/IEC 27018:2019
  • EU Cloud Code of Conduct (COC): Level 2

Für das Figma-Plugin musst du keine zusätzliche Software installieren, denn Figma-Plugins laufen als fester Bestandteil der nativen Funktionen von Figma. Alle Figma-Plugins sind zugänglich und lassen sich sofort in jeder Figma-Datei oder über das offizielle Ökosystem der Figma Community in der Figma-App ausführen.

Wenn deine Organisation Figma bereits freigegeben hat, hast du schon Zugriff auf Figma-Plugins.

So funktioniert Crypto ​

Mit dem Figma-Plugin Crypto schützt du deine Figma-Designs und Figma-Prototypen mit einem Passwort.

Crypto ist auf Datenschutz und Sicherheit ausgelegt: Alle erzeugten „Share“-URLs sind standardmäßig passwortgeschützt, und Bild-Uploads werden mit AES-256 verschlüsselt.

Alle Uploads und Cloud-Speicherdienste, die das Plugin Crypto und die Crypto-Web-App nutzen, werden über Google Firebase in der Google Cloud gehostet (derselben Infrastruktur, auf der Google alle eigenen Produkte betreibt).

Laut Privacy and Security in Firebase haben alle Firebase-Dienste (außer App Indexing) die Prüfverfahren nach ISO 27001 sowie SOC 1, SOC 2 und SOC 3 erfolgreich abgeschlossen; einige haben außerdem die Zertifizierung nach ISO 27017 und ISO 27018 durchlaufen.

Was Crypto tut und was nicht ​

Crypto nutzt die Figma Plugins API, um Figma-Designs zu exportieren und eine passwortgeschützte URL zu erstellen, die du mit beliebigen Stakeholdern teilen kannst, damit sie die Designs außerhalb der Figma-App prüfen.

Was Crypto tut ​

  • Es erzeugt passwortgeschützte URLs, die du mit deinen Stakeholdern teilen kannst.
  • Es erstellt schnelle, schöne und einfach zu bedienende Vorschauseiten im Browser.
  • Es verschlüsselt Bild-Uploads mit AES-256.
  • Es stellt die Einbettungen deiner Figma-Prototypen unter eine passwortgeschützte URL.
  • Es löscht URLs und Uploads automatisch, wenn 180 Tage lang niemand darauf zugreift.
  • Es lädt alle exportierten PDF-Dateien direkt auf deinen Computer herunter.

Was Crypto nicht tut ​

  • Es macht keine der über das Plugin erstellten passwortgeschützten „Uploaded“-URLs öffentlich zugänglich, und sie werden von keiner Suchmaschine indexiert.
  • Es erfasst oder speichert keine personenbezogenen Daten (Figma-Plugins können nicht auf private Informationen über Figma-Projekte, Figma-Teams oder Figma-Nutzer zugreifen).

So funktionieren Figma-Plugins ​

Figma-Plugins sind in HTML/CSS/Javascript geschrieben und laufen in einer streng kontrollierten Sandbox-Umgebung innerhalb der Figma-Hauptanwendung.

Figma-Plugins können nur das tun, was Figma ihnen im Rahmen der Berechtigungen der Figma Plugins API erlaubt. Vor allem haben Plugins keinerlei Zugriff auf personenbezogene Daten des Figma-Nutzers, der das Plugin ausführt.

Was Figma-Plugins können und was nicht ​

Laut dem Artikel zur Sicherheit von Figma-Plugins können Figma-Plugins nur eine begrenzte Zahl von Dingen tun und viele andere nicht:

Figma-Plugins können ​

  • nur durch eine ausdrückliche Aktion des Nutzers ausgeführt werden
  • eine Oberfläche in einem einzigen, Plugin-eigenen Dialog anzeigen
  • alle Daten in deinem Figma-Dokument lesen (zum Beispiel ein Plugin, das „Ebenen nach Namen findet“)
  • alle Daten in deinem Figma-Dokument ändern (zum Beispiel ein Plugin, das „ausgewählte Ebenen umbenennt“)
  • über das Internet mit beliebigen Servern kommunizieren (zum Beispiel ein Plugin für den „Import aus Dienst X“)

Figma-Plugins können nicht ​

  • von selbst laufen
  • Informationen über das Projekt oder Team abrufen, dem die Datei gehört
  • auf irgendetwas zugreifen, während sie nicht laufen
  • auf Daten aus anderen Dateien als der zugreifen, in der sie ausgeführt wurden
  • die Oberfläche von Figma außerhalb des Plugin-Dialogs verändern

Figma-Kontoadministratoren in deinem Unternehmen können eine Allowlist für Plugins einrichten, die in der Organisation erlaubt sind. So lässt sich verhindern, dass nicht vertrauenswürdige Figma-Plugins in einer Datei dieser Organisation ausgeführt werden.