Sikkerhet
Hva vi faktisk gjør, sagt rett ut. Denne siden er del av artikkel 28-dokumentasjonen og oppdateres når tjenesten endres.
Arkitektur og jurisdiksjon
- Datamodell med ett workspace per leietaker på infrastruktur drevet av Vassbrekke AS i Norge/EØS.
- Ingen tredjeparts analysesett eller telemetri i produktet.
- Minimalt behandlerfotavtrykk (se underleverandører).
Autentisering og økter
- Passord hashet med scrypt og tilfeldig salt per bruker, sammenlignet i konstant tid.
- Økt-token er 256-bit tilfeldige verdier; bare SHA-256-hashen lagres på serveren.
- Informasjonskapsler er httpOnly, SameSite=Lax, Secure i produksjon; utløp håndheves på serveren.
- Nullstillings-token er engangs, hashet i ro, utløper på 1 time, og tilbakekaller alle eksisterende økter ved bruk.
- Innlogging, registrering, nullstilling og WebAuthn er ratebegrenset per IP; tidsutjevnede svar hindrer kontoenumerering.
Autorisasjon
- Hver API-rute krever autentisert økt eller admin-rolle unntatt health, auth, webhooks og OAuth-callback (hver med egen verifisering).
- All dataoperasjon er avgrenset til innringerens workspace — kryss-workspace gir ikke funnet.
- Rollebasert tilgang: admin mot leser, håndhevet på serveren ved hver endring.
Databeskyttelse
- TLS i transit; HSTS med preload.
- All SQL bruker prepared statements — ingen interpolerte spørringer i kodebasen.
- Ingen rå HTML-injeksjon; React-escaping overalt.
- Stripe-webhook-signaturer verifiseres med HMAC-SHA256, tidsstempel-toleranse og konstant-tid-sammenligning; usignerte webhooks avvises i produksjon.
- OAuth bruker state-cookie-validering og PKCE.
Drift
- Avhengighetsrevisjon med null kjente sårbarheter ved utgivelse; rammeverkoppdateringer legges inn raskt.
- Sikkerhetshoder: nosniff, frame-deny, streng referrer-policy, restriktiv permissions-policy, HSTS preload. Server-fingerprint-header er slått av.
- Demo-/utviklingsbakdører er av som standard i produksjon og styrt av miljøflagg.
Uavhengig gjennomgang
En full kode-nivå sikkerhetsrevisjon ble fullført 2026-08-23 og dekket avhengigheter, hemmeligheter, autentisering, autorisasjon (isolasjon mellom workspace), injeksjonsflater, integritet på betalingswebhook, OAuth-flyter og transportherding. Tre funn ble identifisert og rettet under revisjonen; rapporten er tilgjengelig på forespørsel for kunder og prospekter.
Vi har ikke SOC 2- eller ISO 27001-sertifisering og sier det rett ut. Krever innkjøpet deres det, spør oss om veikartet.
Meld om en sårbarhet
Funnet noe? Kontaktopplysninger ligger i /.well-known/security.txt — vi tar hver rapport på alvor og svarer raskt.
Relatert: Tillit og jurisdiksjon · Databehandleravtale · Underleverandører