Beveiliging
Beveiliging, eerlijk beschreven.
Savicor bevat vertrouwelijke bedrijfsinformatie, dus beveiliging zit in de manier waarop het datamodel werkt. Op deze pagina staat wat er geregeld is en wat niet.
Verplicht inloggen in twee stappen
Elk account moet een authenticator-app toevoegen. Regels in de database geven geen bedrijfsgegevens vrij aan een sessie die de tweede stap niet heeft afgerond. Herstelcodes worden gehasht opgeslagen.
Organisaties gescheiden in de database
Elke tabel met gegevens van een organisatie heeft Row Level Security. Servercode gaat door dezelfde regels als elke andere client. Automatische tests controleren dat een organisatie de gegevens van een andere niet kan lezen of wijzigen en er geen realtime gebeurtenissen over ontvangt.
Vijf rollen en niet meer rechten dan nodig
Eigenaar, beheerder, manager, lid en alleen lezen. Leden zien hun eigen deals, tenzij de organisatie ze deelt; wie alleen mag lezen kan niets wijzigen; exporteren vraagt minstens managerrechten.
Logboek
Database-triggers leggen vast wat er is aangemaakt, gewijzigd, gearchiveerd en verwijderd, door wie en wat er veranderde. Beheerders kunnen het inzien.
Bescherming op het web
Een strikte Content Security Policy met een nonce per verzoek, HSTS, geen weergave in frames van anderen, limieten op inloggen en openbare formulieren, en binnenkomende mail die opgeschoond wordt getoond in een afgeschermd frame.
Geheimen blijven op de server
Sleutels met extra rechten worden alleen gebruikt door achtergrondtaken en webhooks, nooit in code in de browser. Uitnodigingstokens worden als hash opgeslagen.
Nog niet geregeld
Wat we nog niet gedaan hebben.
We zetten het hier, zodat je met het volledige beeld kunt beslissen.
- Er is nog geen onafhankelijke beveiligingsaudit of certificering (zoals ISO 27001 of SOC 2) gedaan.
- De productieomgeving is ingericht voor de EU (Supabase in Frankfurt, Vercel EU). Controleer de regio van je account voordat je persoonsgegevens opslaat.
- Single sign-on (SAML) is niet beschikbaar.
Een kwetsbaarheid gevonden?
Gebruik het contactformulier en kies Beveiligingsmelding. Test alsjeblieft niet op gegevens van andere klanten.