--- url: 'https://dxpr.com/de/hc/dokumentation/dxpr-builder-lernen/erweitert/sicherheit' title: 'Sicherheit | DXPR' author: name: Jurriaan url: 'https://dxpr.com/users/jurriaan' date: '2026-10-24T04:03:36+00:00' updated: '2026-10-24T19:36:26+00:00' copyright: 'Copyright DXPR. All rights reserved.' type: article summary: |- Diese Seite listet auf, was DXPR Builder von sich aus schützt und was Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformat-Filter läuft und welche Dateien Bearbeitende hochladen dürfen. tags: - 'Meet compliance requirements' image: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' published: true og: site_name: DXPR updated_time: '2026-10-24T19:36:26+0000' 'image:alt': 'DXPR, powered by Drupal: AI-powered Drupal for marketers.' schema: '@context': 'https://schema.org' '@graph': - mainEntity: { } - '@type': TechArticle headline: Sicherheit description: |- Diese Seite listet auf, was DXPR Builder von sich aus schützt und was Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformat-Filter läuft und welche Dateien Bearbeitende hochladen dürfen. image: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/images/dxpr-share-card.jpg' width: '1200' height: '630' datePublished: '2026-10-24T04:03:36+0000' dateModified: '2026-10-24T19:36:26+0000' author: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR url: 'https://dxpr.com/' logo: '@type': ImageObject url: 'https://dxpr.com/themes/custom/dxpr_com/dxpr-logo-dark.svg' width: '1348' height: '501' mainEntityOfPage: 'https://dxpr.com/de/hc/dokumentation/dxpr-builder-lernen/erweitert/sicherheit' articleSection: 'Compliance erfüllen' - '@type': WebPage '@id': 'https://dxpr.com/de/hc/dokumentation/dxpr-builder-lernen/erweitert/sicherheit' description: |- Diese Seite listet auf, was DXPR Builder von sich aus schützt und was Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformat-Filter läuft und welche Dateien Bearbeitende hochladen dürfen. breadcrumb: '@type': BreadcrumbList itemListElement: - '@type': ListItem position: 1 name: Startseite item: 'https://dxpr.com/de' publisher: '@type': Organization '@id': 'https://dxpr.com/#organization' name: DXPR inLanguage: de --- [Hilfe-Center](/de/hc)/[Dokumentation](/de/hc/dokumentation) /[DXPR Builder lernen](/de/hc/documentation/learn-dxpr-builder) /[Website verwalten](/de/hc/documentation/learn-dxpr-builder/manage) /[Compliance erfüllen](/de/hc/documentation/learn-dxpr-builder/manage/compliance) # Sicherheit. DXPR Builder lernenWebsite verwaltenCompliance erfüllen ## In diesem Leitfaden Verwandte Leitfäden - [Performance](/de/hc/dokumentation/dxpr-builder-lernen/erweitert/performance) Diese Seite listet auf, was DXPR Builder von sich aus schützt und was Sie entscheiden: wer bearbeiten darf, ob die Besucherausgabe durch Textformat-Filter läuft und welche Dateien Bearbeitende hochladen dürfen. ## Builder-Ausgabe und Textformate Der Builder speichert eine Seite als HTML im Feld und zeigt dieses HTML wie gespeichert. Textformat-Filter laufen standardmäßig nicht auf Builder-Feldern. Wer **Edit with DXPR Builder** hat und eine Seite bearbeiten darf, kann daher beliebiges HTML hinzufügen, einschließlich Skripten in einem HTML-Element. Geben Sie die Berechtigung nur vertrauenswürdigen Rollen; Drupal markiert sie auf der Berechtigungsseite als eingeschränkt. **Apply text format filters to frontend content**, unter **DXPR Studio** > **DXPR Builder** > **General Settings** > **Text Filters**, lässt das Textformat des Felds für alle ohne Bearbeitungszugang laufen. Bearbeitende sehen weiterhin den Rohinhalt. Ein restriktives Format kann auch Builder-Markup entfernen, testen Sie daher Seiten mit eingeschalteter Option. KI-Ausgaben haben einen eigenen Filter. Unter **DXPR Studio** > **DXPR Builder** > **AI** begrenzt **AI Output Filtering**generierte Inhalte auf die aufgeführten **Allowed domains**. ## Benutzerberechtigungen DXPR Builder definiert drei Berechtigungen: | Berechtigung | Bezeichnung | Gewährt | |---|---|---| | `edit with dxpr builder` | **Edit with DXPR Builder** | Den Builder auf Inhalten nutzen, die die bearbeitende Person bearbeiten darf; jedes solche Konto nutzt eine Lizenz | | `administer dxpr builder configuration` | **Administer DXPR Builder configuration** | **General Settings**, KI-Einstellungen, **User Licenses**, **Content items** und **Migrations** | | `administer dxpr_builder_profile` | **Administer dxpr builder profile** | **User Profiles** | Die Admin-Seiten **Page Templates** und **User Templates**brauchen die Core-Berechtigung **Administer site configuration**. Der Editor braucht außerdem Aktualisierungszugang auf den Inhalt selbst, etwa **Basic page: Edit any content**. Jeder Speichervorgang prüft ihn serverseitig erneut. ## AJAX-Routen und CSRF-Schutz Diese Routen nehmen Anfragen nur mit CSRF-Token an und nur von einem Konto, das **Edit with DXPR Builder** hat und nicht vom Bearbeiten ausgeschlossen ist: - `/dxpr_builder/ajax` (Speichern, Vorlagen, Blöcke und Ansichten) - `/dxpr_builder/ajax/ai/chat` (KI-Textassistent) - `/dxpr_builder/ajax/ai/image` (KI-Bilderzeugung) - `/dxpr_builder/ajax/ai/image/edit` (KI-Bildbearbeitung) - `/dxpr_builder/ajax/file_upload` (Datei-Uploads) `/dxpr_builder/user-settings` und `/dxpr_builder/entity-link-suggestions` brauchen ebenfalls ein Token und die Berechtigung. Der Editor holt frische Token von `/dxpr_builder/csrf`, das nur Konten antwortet, die bearbeiten dürfen. `/dxpr_builder/media-library` braucht **View media**. Keine manuelle Konfiguration nötig. ## Benutzerprofile Benutzerprofile formen den Editor pro Rolle: welche **Elements**, **Blocks**, **Views**, **Page templates**, **Global user templates** und **Icon sets** Bearbeitende sehen und welche Texteditor-Schaltflächen sie erhalten. Ein Profil ist keine Sicherheitsgrenze. Die Speicherroute nimmt beliebiges HTML von Konten mit der Berechtigung an, daher hält das Verstecken des HTML-Elements entschlossene Bearbeitende nicht auf. Mehr als ein Profil braucht die Stufe DXPR Enterprise. ## Datei-Uploads Die Upload-Route `/dxpr_builder/ajax/file_upload`: - Nimmt nur GIF-, JPEG-, PNG-, WebP-, AVIF- und SVG-Bilder sowie WebM-, Ogg-, MP4- und QuickTime-Videos an, über Drupals Datei-Upload-Validierung. - Begrenzt die Dateigröße auf das PHP-Upload-Limit. - Speichert Dateien in `dxpr_builder_images`, `dxpr_builder_videos` oder `dxpr_builder_files` im Standard-Dateiverzeichnis, als permanente Dateien. SVG-Dateien können Skripte enthalten, die laufen, wenn jemand die Datei direkt öffnet. Das ist ein weiterer Grund, die Bearbeitungsberechtigung vertrauenswürdigen Rollen vorzubehalten. Auf einer Website, deren Standard-Dateisystem privat ist, werden Dateien in den privaten Ordnern `dxpr_builder_images` und `dxpr_builder_videos` an alle Besucher ausgeliefert, weil Builder-Seiten sie öffentlich zeigen. Laden Sie keine vertraulichen Dateien über den Builder hoch. ## Wie geht es weiter? [Performance-Tuning für schnellere Seiten](/de/hc/dokumentation/dxpr-builder-lernen/erweitert/performance), um DXPR Builder weiter zu erkunden.