Die Integrationen öffnen das Gerät für Zugriffe aus dem Netzwerk. Weil die DoorLine Key einen Türöffner ansteuert, wiegen diese Zugriffe schwerer als bei einem reinen Melde- oder Kamerageräte. Die folgenden Hinweise beachten.
-
Keinen Zugriff aus dem Internet einrichten. Die Weboberfläche und die Geräte-API nicht per Portweiterleitung aus dem Internet erreichbar machen. Für den Zugriff von unterwegs eine VPN-Verbindung in das Heimnetz verwenden (zum Beispiel WireGuard der FRITZ!Box).
-
Verschlüsselten Zugriff (HTTPS) verwenden. Für Konfiguration und API-Aufrufe den HTTPS-Zugriff nutzen und bei Bedarf die Einstellung „Webinterface" auf reines HTTPS umstellen (siehe Kapitel „4. Konfiguration"). Vorher sicherstellen, dass alle angebundenen Drittsysteme mit HTTPS und dem geräteeigenen Zertifikat umgehen können.
-
Passwörter getrennt halten. Konfigurations-Passwort (Weboberfläche und API), Backup-Passwort (Konfigurationsdatei) und die Zutrittscodes der Benutzer sind verschiedene Zugangsdaten. Für jedes ein eigenes, sicheres Passwort verwenden.
-
Bedenken, dass die API die Tür öffnet. Wer das Passwort kennt und Zugang zum Heimnetz hat, kann über die Geräte-API die Relais schalten. Das Konfigurations-Passwort deshalb nicht in Automationen ablegen, die für andere einsehbar sind, und nicht in unverschlüsselten Adressen weitergeben.
-
Nur vertrauenswürdige Geräte ins selbe Netz. Steht die Key in einem Netz mit Geräten unbekannter Herkunft, das Gerät in ein eigenes Netzsegment legen und den Zugriff darauf beschränken.
-
Beim Einsatz der externen Code-Auswertung den Schutz gegen systematisches Durchprobieren im auswertenden System vorsehen — die geräteseitige Sperre greift dann nicht (siehe „Externe Code-Auswertung").
-
Zutrittscodes nicht in Drittsysteme übernehmen. Auf dem Gerät sind Codes nur als Hash gespeichert und nicht auslesbar. Werden dieselben Codes zusätzlich im Klartext in einem Smart-Home-System hinterlegt, entfällt dieser Schutz. Besser je Benutzer eine eigene Webhook-Adresse verwenden, damit das Drittsystem den Zutritt zuordnen kann, ohne den Code zu kennen.
-
Protokoll vertraulich behandeln. Das exportierte Protokoll macht nachvollziehbar, wann welche Person Zutritt hatte (siehe Kapitel „5. Betrieb und Wartung").