Beveiliging
Beveiliging bij ServerScope
Hoe je een probleem verantwoord meldt, welke waarborgen de applicatie heeft en wat je zelf kunt doen. We noemen alleen maatregelen die we in het product kunnen aanwijzen.
Een kwetsbaarheid melden
Iets gevonden dat gebruikers of hun gegevens in gevaar kan brengen? Meld het vertrouwelijk, zodat het opgelost kan worden voordat het gedeeld wordt.
- 1 Gebruik het contactformulier en kies een onderwerp als “Beveiligingsmelding”.
- 2 Beschrijf wat je hebt gevonden, waar, en hoe het te reproduceren is.
- 3 Stuur nooit wachtwoorden, API-tokens, webhookgeheimen of gegevens van anderen mee.
- 4 Geef ons redelijk de tijd om het probleem op te lossen voordat je het openbaar maakt.
Je account veilig houden
- Schakel tweestapsverificatie in en bewaar de herstelcodes op een veilige plek.
- Geef elke koppeling een eigen API-token met alleen de rechten die nodig zijn, en een vervaldatum.
- Trek tokens in die je niet meer gebruikt, en vernieuw agenttokens en webhookgeheimen na een vermoedelijk lek.
- Plak nooit tokens, geheimen of wachtwoorden in tickets, chats of het contactformulier.
Waarborgen in de applicatie
Deze maatregelen zitten in de ServerScope-applicatie en staan beschreven in de documentatie.
-
Tweestapsverificatie
Tijdgebonden codes uit een authenticator-app, met eenmalige herstelcodes.
-
Gehashte API-tokens
Tokens worden één keer getoond en alleen als SHA-256-hash bewaard, beperkt tot lezen of schrijven en optioneel met een vervaldatum.
-
Ondertekende webhooks
Elke levering bevat een HMAC-SHA256-handtekening en een tijdstempel die je kunt controleren.
-
Versleutelde Discord-URL’s
De webhook-URL (met daarin een token) wordt versleuteld opgeslagen en overal gemaskeerd getoond.
-
Alleen publieke doelen
Websitecontroles en webhooks weigeren interne adressen, ook na een redirect of DNS-wijziging.
-
Auditlog
Beheeracties worden vastgelegd, zodat wijzigingen te herleiden zijn.
Deze website
- Deze informatiewebsite heeft geen gebruikersaccounts en deelt geen sessies met de applicatie.
- Lettertypen en scripts komen van deze website zelf; er worden geen trackers van derden geladen.
- Berichten via het contactformulier worden per e-mail verstuurd en niet op deze website opgeslagen.
Niet op deze pagina
Certificeringen, compliance-verklaringen, hostinglocatie, formele reactietijden en bewaartermijnen worden hier niet vermeld. Vraag ernaar via het contactformulier als je ze nodig hebt.