Pixelay-Sicherheit

Pixelay läuft als offizielles Plugin in der Figma-App selbst. Solche Plugins werden vom Figma-Team geprüft und freigegeben.

Das Figma-Plugin wird direkt von den Servern von Figma ausgeführt und läuft in deiner Figma-Datei. Damit erbt es die gesamte Sicherheit und Infrastruktur der Figma-Plattform, die über die Branchenstandards für Datenschutz und Sicherheit hinausgehen:

  • SOC 2 Type 2
  • SOC 3
  • Cloud Security Alliance (CSA) STAR: Level 1
  • ISO/IEC 27001:2013
  • ISO/IEC 27018:2019
  • EU Cloud Code of Conduct (COC): Level 2

Für das Figma-Plugin musst du keine zusätzliche Software installieren, denn Figma-Plugins laufen als fester Bestandteil der nativen Funktionen von Figma. Alle Figma-Plugins sind zugänglich und lassen sich sofort in jeder Figma-Datei oder über das offizielle Ökosystem der Figma Community in der Figma-App ausführen.

Wenn deine Organisation Figma bereits freigegeben hat, hast du schon Zugriff auf Figma-Plugins.

So funktioniert Pixelay ​

Das Figma-Plugin Pixelay hilft dir, deine Design-Mockups aus Figma mit den URLs deiner echten Website zu vergleichen.

Pixelay ist auf Datenschutz und Sicherheit ausgelegt: Alle Vergleiche laufen über die Browsererweiterung von Pixelay auf deiner eigenen Domain, und alle hochgeladenen Bilder werden mit AES-256 verschlüsselt.

Die Web-App von Pixelay lädt die URLs deiner eigenen Domain, die du zum Vergleich angegeben hast, als <iframe title="Pixelay Security interactive preview 1">-Tags. So kannst du mehrere Seiten und Designs gleichzeitig auf derselben Webseite im Browser vergleichen. Von deiner Website wird dabei nie etwas hochgeladen, verarbeitet, verwendet oder ausgelesen – sie wird über die Browsererweiterung von Pixelay lediglich „schreibgeschützt“ in ein <iframe title="Pixelay Security interactive preview 2"> eingebettet.

Alle Uploads und Cloud-Speicherdienste, die das Plugin und die Web-App von Pixelay nutzen, werden über Google Firebase auf Google Cloud gehostet (derselben Infrastruktur, auf der Google alle eigenen Produkte betreibt).

Laut Privacy and Security in Firebase haben alle Firebase-Dienste (außer App Indexing) die Prüfverfahren nach ISO 27001 sowie SOC 1, SOC 2 und SOC 3 erfolgreich abgeschlossen, und einige zusätzlich die Zertifizierung nach ISO 27017 und ISO 27018.

Was Pixelay tut und was nicht ​

Pixelay nutzt die Figma Plugins API, um Figma-Designs zu exportieren, die du dann über die Browsererweiterung von Pixelay im Browser mit den URLs deiner eigenen Website vergleichen kannst.

Was Pixelay kann ​

  • Links erzeugen, mit denen du deine Designs mit den URLs deiner echten Website vergleichst (ohne dass ein Figma-Konto nötig ist).
  • Dir über die Browsererweiterung von Pixelay deine eindeutige ID anzeigen (auf deiner eigenen Domain).
  • Hochgeladene Bilder mit AES-256 verschlüsseln.
  • URLs und Uploads automatisch löschen, wenn 180 Tage lang niemand darauf zugegriffen hat.

Was Pixelay nie tut ​

  • Designs aus dem Plugin öffentlich zugänglich machen oder von Suchmaschinen indexieren lassen.
  • Öffentliche URLs erstellen (die Browsererweiterung läuft nur auf deiner eigenen Domain).
  • Personenbezogene Daten erfassen oder speichern (Figma-Plugins haben keinen Zugriff auf private Informationen über Figma-Projekte, Figma-Teams oder Figma-Nutzer).

So funktionieren Figma-Plugins ​

Figma-Plugins sind in HTML/CSS/Javascript geschrieben und laufen in einer streng kontrollierten Sandbox-Umgebung innerhalb der Figma-Hauptanwendung.

Figma-Plugins können nur das tun, was Figma ihnen im Rahmen der Berechtigungen der Figma Plugins API erlaubt. Vor allem haben Plugins keinerlei Zugriff auf personenbezogene Daten des Figma-Nutzers, der das Plugin ausführt.

Was Figma-Plugins können und was nicht ​

Laut dem Artikel zur Sicherheit von Figma-Plugins können Figma-Plugins nur eine begrenzte Zahl von Dingen tun und viele andere nicht:

Figma-Plugins können ​

  • nur durch eine ausdrückliche Aktion des Nutzers ausgeführt werden
  • eine Oberfläche in einem einzigen, Plugin-eigenen Dialog anzeigen
  • alle Daten in deinem Figma-Dokument lesen (zum Beispiel ein Plugin, das „Ebenen nach Namen findet“)
  • alle Daten in deinem Figma-Dokument ändern (zum Beispiel ein Plugin, das „ausgewählte Ebenen umbenennt“)
  • über das Internet mit beliebigen Servern kommunizieren (zum Beispiel ein Plugin für den „Import aus Dienst X“)

Figma-Plugins können nicht ​

  • von selbst laufen
  • Informationen über das Projekt oder Team abrufen, dem die Datei gehört
  • auf irgendetwas zugreifen, während sie nicht laufen
  • auf Daten aus anderen Dateien als der zugreifen, in der sie ausgeführt wurden
  • die Oberfläche von Figma außerhalb des Plugin-Dialogs verändern

Figma-Kontoadministratoren in deinem Unternehmen können eine Allowlist für Plugins einrichten, die in der Organisation erlaubt sind. So lässt sich verhindern, dass nicht vertrauenswürdige Figma-Plugins in einer Datei dieser Organisation ausgeführt werden.