Deze pagina beschrijft de beveiligingsmaatregelen die Sizewright vandaag heeft: wat er gebouwd is, geen plannen. Hoe we met persoonsgegevens omgaan, lees je in het privacybeleid; welke dienstverleners we inschakelen, zie je op de pagina met subverwerkers.
Accounts en inloggen
- Wachtwoorden van minstens 10 tekens, gecontroleerd tegen wachtwoorden die bekend zijn uit datalekken. Voor die controle versturen we alleen de eerste tekens van een hash van het wachtwoord, nooit het wachtwoord zelf.
- Een account werkt pas als het e-mailadres is bevestigd. Je krijgt een beveiligingsmail als er wordt ingelogd vanaf een nieuw apparaat en als je wachtwoord, je e-mailadres of je instellingen voor tweestapsverificatie veranderen.
- Tweestapsverificatie met een authenticator-app en back-upcodes, verplicht voor elk account van onze medewerkers.
- Sessies in beveiligde HttpOnly-cookies. In je account zie je op welke apparaten je bent ingelogd, en je kunt op één of op al die apparaten uitloggen.
- Een nieuwe wachtwoordcontrole voor gevoelige handelingen, zoals het wijzigen van je e-mailadres of het verwijderen van je account.
- Botbescherming en limieten op het aantal verzoeken bij aanmelden, inloggen, wachtwoordherstel en het wijzigen van een e-mailadres.
Toegang tot werkruimtes
- Elk verzoek controleren we op de server aan de hand van de werkruimte waar het bij hoort en de rol van de persoon die het doet. Een identificatiecode die een browser meestuurt, is op zichzelf nooit genoeg.
- Goedkeuringslinks werken met lange, willekeurige tokens die we alleen als hash opslaan. Een link verloopt, kan een wachtwoord krijgen en is op elk moment in te trekken.
- Medewerkers kijken alleen in een werkruimte mee om te helpen of om een probleem te onderzoeken. Ze moeten een reden opgeven, een sessie stopt na hooguit 60 minuten, facturering en verwijderen zijn zolang geblokkeerd, en elke sessie wordt vastgelegd in het auditlog.
Je content
- Uploads worden gecontroleerd: er gelden maximale bestandsgroottes, het bestandstype wordt aan de inhoud herkend, afbeeldingen worden gedecodeerd, SVG-bestanden opgeschoond en lettertypen gevalideerd voordat ze worden gebruikt.
- Als je een huisstijl van een website importeert, gebeurt dat in een afgeschermde browser die geen privénetwerken kan bereiken.
- Voorvertoningen van banners en HTML5-banners draaien in een sandbox, gescheiden van het platform.
- AI-aanbieders krijgen alleen wat een stap nodig heeft en trainen hun modellen er niet op (zie het privacybeleid).
Betalingen
Je kaartgegevens vul je in op de eigen betaalpagina van Stripe; ze komen nooit op onze servers. We bewaren de kenmerken die Stripe aan klanten en betalingen geeft, geen kaartnummers.
Infrastructuur
- Uitsluitend HTTPS, met HSTS, een strikt contentbeveiligingsbeleid (Content Security Policy) en andere beveiligingsheaders.
- De database staat in de EU (Frankfurt) en de bestandsopslag ook in de EU, beide versleuteld opgeslagen. Van de database bestaan back-ups waarmee we naar elk gewenst tijdstip kunnen terugzetten; die back-ups vervallen binnen 30 dagen.
- Geheime sleutels blijven buiten de code. Logs bevatten geen wachtwoorden, tokens of kaartgegevens, en aan het auditlog kan alleen iets worden toegevoegd.
- De software waarvan we afhankelijk zijn, houden we up-to-date en controleren we op bekende kwetsbaarheden.
Als er iets misgaat
Raakt een beveiligingsincident persoonsgegevens, dan beoordelen we het binnen 24 uur, melden we het binnen 72 uur bij de Autoriteit Persoonsgegevens als de wet dat vereist, en informeren we de betrokkenen zonder onredelijke vertraging als het risico voor hen hoog is. Zakelijke klanten die met onze verwerkersovereenkomst werken, horen binnen 48 uur van ons.
Een kwetsbaarheid melden
Heb je een beveiligingsprobleem gevonden? Mail de details naar support@sizewright.com, met een beschrijving van hoe we het kunnen reproduceren. Geef ons de tijd om het op te lossen voordat je het met anderen deelt. Kijk tijdens het testen niet in gegevens van anderen en verstoor de dienst niet. We antwoorden binnen twee werkdagen. Hetzelfde adres staat in security.txt.