Beveiliging

Architectuur

UptimeGlobe draait op een volledig beheerd serverless platform van een toonaangevende infrastructuurprovider. Er zijn geen langdraaiende servers van ons, geen SSH-toegang om te roteren en geen besturingssystemen die wij moeten patchen — een grote categorie kwetsbaarheden hoort simpelweg niet bij ons aanvalsoppervlak. Al het verkeer, zowel voor gebruikers als intern, loopt via TLS.

Uw account

• Wachtwoorden worden gehasht met PBKDF2-SHA256 (100.000 iteraties, salt per gebruiker). We slaan een wachtwoord nooit in platte tekst op en loggen het nooit, en de antwoorden bij het inloggen zijn zo opgebouwd dat niet via de reactietijd kan worden afgeleid of een account bestaat.
• Tweestapsverificatie (TOTP) is beschikbaar voor elk account, het gratis abonnement inbegrepen.
• Sessies gebruiken een kortlevend token van 15 minuten plus een vernieuwingstoken voor eenmalig gebruik dat steeds wordt vervangen. Wordt een al vervangen vernieuwingstoken opnieuw gebruikt — het kenmerk van een gestolen sessie — dan worden alle sessies op het account ingetrokken. Een wachtwoordwijziging of -reset doet hetzelfde.
• Botbescherming: registratie en inloggen worden gescreend op geautomatiseerd misbruik, zonder een CAPTCHA die u moet oplossen.

Uw inloggegevens en data

• Inloggegevens voor notificaties — Slack-tokens, webhook-URL's, sleutels van SMS-aanbieders — worden versleuteld opgeslagen met AES-256-GCM, onder een sleutel die buiten de database wordt bewaard. De API geeft ze afgeschermd terug, en foutmeldingen worden opgeschoond zodat een falende integratie haar eigen geheim niet kan lekken.
• Scheiding tussen klanten wordt afgedwongen in de datatoegangslaag zelf: elke query op gegevens van een klant wordt automatisch beperkt tot uw organisatie, en onze linters weigeren code die deze toegangslaag omzeilt. Het wordt niet aan elk endpoint overgelaten om dat te onthouden.
• API-sleutels krijgen rechten per resource en per actie (lezen/schrijven), worden één keer getoond bij het aanmaken, gehasht opgeslagen en kunnen op elk moment worden ingetrokken.
• Betaalgegevens: kaartgegevens komen nooit in onze systemen. Zodra betaalde facturering actief is, worden het afrekenen en de opslag van kaarten afgehandeld door een gespecialiseerde betaalprovider.

Rechten over uw gegevens

U kunt uw gegevens exporteren en u kunt uw account verwijderen — verwijdering is een echte, definitieve verwijdering van de gegevens van uw omgeving, geen markering. Details staan in het privacybeleid.

Status van certificeringen

UptimeGlobe heeft nog geen SOC 2- of ISO 27001-certificering — we zijn een jong product dat door de oprichter wordt gerund, en we doen niet alsof dat anders is. Deze pagina beschrijft de maatregelen die vandaag echt zijn getroffen; ze wordt bijgewerkt naarmate onze beveiliging zich ontwikkelt.

Een kwetsbaarheid melden

Iets gevonden? Gebruik het contactformulier: kies het onderwerp Iets anders en begin uw bericht met „SECURITY”. Beschrijf de stappen om het te reproduceren en de impact die het volgens u heeft. We bevestigen de ontvangst binnen 2 werkdagen, houden u op de hoogte terwijl we het oplossen en noemen uw naam als u dat wilt. Raadpleeg tijdens het testen geen gegevens van andere gebruikers — een proof of concept op uw eigen account is altijd genoeg.