--- url: 'https://dxpr.com/de/hc/documentation/learn-dxpr-builder/tutorials/about-page' title: 'Sicherheit | DXPR' author: name: Jurriaan url: 'https://dxpr.com/users/jurriaan' date: '2026-10-24T08:40:34+00:00' updated: '2026-10-24T09:09:48+00:00' copyright: 'Copyright DXPR. All rights reserved.' type: article summary: |- Diese Seite listet auf, was DXPR Builder von allein schützt und worüber Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformatfilter läuft und welche Dateien die Redaktion hochladen darf. tags: - 'Hulp krijgen' image: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' published: true og: site_name: DXPR updated_time: '2026-10-24T09:09:48+0000' 'image:alt': 'DXPR, powered by Drupal: AI-powered Drupal for marketers.' schema: '@context': 'https://schema.org' '@graph': - mainEntity: { } - '@type': TechArticle headline: Sicherheit description: |- Diese Seite listet auf, was DXPR Builder von allein schützt und worüber Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformatfilter läuft und welche Dateien die Redaktion hochladen darf. image: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' width: '1200' height: '630' datePublished: '2026-10-24T08:40:34+0000' dateModified: '2026-10-24T09:09:48+0000' author: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' mainEntityOfPage: 'https://dxpr.com/de/hc/documentation/learn-dxpr-builder/tutorials/about-page' articleSection: 'Hulp krijgen' - '@type': WebPage '@id': 'https://dxpr.com/de/hc/documentation/learn-dxpr-builder/tutorials/about-page' description: |- Diese Seite listet auf, was DXPR Builder von allein schützt und worüber Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformatfilter läuft und welche Dateien die Redaktion hochladen darf. breadcrumb: '@type': BreadcrumbList itemListElement: - '@type': ListItem position: 1 name: Startseite item: 'https://dxpr.com/de' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR inLanguage: de --- [Help Center](/de/hc)/[Documentation](/de/hc/documentation) /[Learn DXPR Builder](/hc/documentation/learn-dxpr-builder) /[Reference](/hc/documentation/learn-dxpr-builder/reference) /[Hulp krijgen](/hc/documentation/learn-dxpr-builder/reference/get-help) # Sicherheit. Learn DXPR BuilderReferenceHulp krijgen ## In this guide Related guides - [Content-Staging](/de/hc/documentation/learn-dxpr-builder/tutorials/team-directory) - [Eine Card hinzufügen](/de/hc/documentation/learn-dxpr-builder/elements/card) Diese Seite listet auf, was DXPR Builder von allein schützt und worüber Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformatfilter läuft und welche Dateien die Redaktion hochladen darf. ## Builder-Ausgabe und Textformate Der Builder speichert eine Seite als HTML im Feld und zeigt dieses HTML wie gespeichert. Textformatfilter laufen auf Builder-Feldern standardmäßig nicht. Personen mit **Edit with DXPR Builder**, die eine Seite bearbeiten dürfen, können ihr daher beliebiges HTML hinzufügen, einschließlich Skripten in einem HTML- Element. Gewähren Sie die Berechtigung nur vertrauenswürdigen Rollen; Drupal markiert sie als eingeschränkt auf der Berechtigungsseite. **Apply text format filters to frontend content**, unter **DXPR Studio** > **DXPR Builder** > **General Settings** > **Text Filters**, wendet das Textformat des Feldes für Personen an, die nicht redaktionell arbeiten. Die Redaktion sieht weiter den rohen Inhalt. Ein restriktives Format kann auch Builder-Markup entfernen, also testen Sie Seiten mit eingeschalteter Option. KI-Ausgaben haben einen eigenen Filter. Unter **DXPR Studio** > **DXPR Builder** > **AI** begrenzt **AI Output Filtering** erzeugte Inhalte auf die gelisteten **Allowed domains**. ## Benutzerberechtigungen DXPR Builder definiert drei Berechtigungen: | Berechtigung | Bezeichnung | Gewährt | |---|---|---| | `edit with dxpr builder` | **Edit with DXPR Builder** | Den Builder auf Inhalten nutzen, die bearbeitet werden dürfen; jedes solche Konto nutzt eine Lizenz | | `administer dxpr builder configuration` | **Administer DXPR Builder configuration** | **General Settings**, KI-Einstellungen, **User Licenses**, **Content items** und **Migrations** | | `administer dxpr_builder_profile` | **Administer dxpr builder profile** | **User Profiles** | Die Adminseiten **Page Templates** und **User Templates** brauchen die Core-Berechtigung **Administer site configuration**. Der Editor braucht außerdem Update-Zugriff auf den Inhalt selbst, etwa **Basic page: Edit any content**. Jedes Speichern prüft ihn erneut auf dem Server. ## AJAX-Routen und CSRF-Schutz Diese Routen akzeptieren Anfragen nur mit CSRF-Token und nur von einem Konto mit **Edit with DXPR Builder**, das nicht vom Bearbeiten ausgeschlossen ist: - `/dxpr_builder/ajax` (Speichern, Vorlagen, Blöcke und Ansichten) - `/dxpr_builder/ajax/ai/chat` (KI-Textassistent) - `/dxpr_builder/ajax/ai/image` (KI-Bilderstellung) - `/dxpr_builder/ajax/ai/image/edit` (KI-Bildbearbeitung) - `/dxpr_builder/ajax/file_upload` (Dateiuploads) `/dxpr_builder/user-settings` und `/dxpr_builder/entity-link-suggestions` brauchen ebenfalls ein Token und die Berechtigung. Der Editor holt frische Tokens von `/dxpr_builder/csrf`, das nur Konten antwortet, die bearbeiten dürfen. `/dxpr_builder/media-library` braucht **View media**. Keine manuelle Konfiguration nötig. ## Benutzerprofile Benutzerprofile formen den Editor für jede Rolle: welche **Elements**, **Blocks**, **Views**, **Page templates**, **Global user templates** und **Icon sets** die Redaktion sieht und welche Texteditor- Buttons sie erhalten. Ein Profil ist keine Sicherheitsgrenze. Die Speicherroute akzeptiert beliebiges HTML von Personen mit der Berechtigung, sodass das Verstecken des HTML-Elements eine entschlossene Person aus der Redaktion nicht stoppt. Mehr als ein Profil braucht die DXPR Enterprise-Stufe. ## Dateiuploads Die Uploadroute `/dxpr_builder/ajax/file_upload`: - Akzeptiert nur GIF-, JPEG-, PNG-, WebP-, AVIF- und SVG-Bilder sowie WebM-, Ogg-, MP4- und QuickTime-Videos, durch Drupals Dateiupload- Validierung. - Begrenzt die Dateigröße auf das Uploadlimit von PHP. - Speichert Dateien in `dxpr_builder_images`, `dxpr_builder_videos` oder `dxpr_builder_files` im Standard-Dateiverzeichnis, als permanente Dateien. SVG-Dateien können Skripte enthalten, die laufen, wenn jemand die Datei direkt öffnet. Das ist ein weiterer Grund, die Bearbeitungsberechtigung vertrauenswürdigen Rollen vorzubehalten. Auf einer Website, deren Standard-Dateisystem privat ist, werden Dateien in den privaten Ordnern `dxpr_builder_images` und `dxpr_builder_videos` jedem Besucher ausgeliefert, weil Builder-Seiten sie öffentlich zeigen. Laden Sie keine vertraulichen Dateien über den Builder hoch. ## Wie geht es weiter? [Performance-Tuning für schnellere Seiten](/de/hc/documentation/learn-dxpr-builder/advanced/performance), um DXPR Builder weiter zu entdecken.