Van wie is de data in een systeem dat jullie voor ons bouwen?
Van jou. Wij verwerken die om de afgesproken dienst te laten draaien en voor niets anders. Ze wordt niet op één hoop gegooid met data van een andere klant, niet verkocht en niet gebruikt om jouw gebruikers advertenties te tonen. Stopt de samenwerking, dan neem je de data mee.
Verbindingen lopen over HTTP/3 en het domein staat op de vooraf geladen HSTS-lijst van browsers — een browser weigert dus al bij het allereerste bezoek onversleuteld te praten, nog voordat een redirect onderschept kan worden. De sleuteluitwisseling is post-quantum: X25519 gecombineerd met ML-KEM-768, zo gekozen dat vandaag afgetapt verkeer ook standhoudt zodra een quantumcomputer het kan aanvallen.
Hoe worden wachtwoorden, sleutels en API-credentials opgeslagen?
Nooit in de broncode — dat dwingt de build af, niet de discipline: code met een hard ingebakken geheim wordt geweigerd voordat die gemerged kan worden. Geheimen staan versleuteld in een instellingenopslag en worden tijdens runtime alleen ontsleuteld waar ze echt nodig zijn. Een sleutel roteren is daardoor één wijziging op één plek in plaats van zoeken door de hele codebase.
Wat wordt er gelogd, en is te zien wie iets heeft gewijzigd?
Ja. Applicatie-events, fouten en beheeracties worden naar de database geschreven in plaats van naar tekstbestanden verspreid over servers, zodat ze echt doorzoekbaar zijn. Beheerwijzigingen leggen vast wie handelde, wat er veranderde en wanneer. Op "wie heeft vorige maand deze prijs aangepast" is er een antwoord in plaats van een vermoeden.
Hoe gaan jullie om met cookies en toestemming?
Niet-essentiële cookies worden pas geplaatst nadat de bezoeker akkoord gaat, de keuze wordt vastgelegd en elke site die wij bouwen heeft een pagina waar die later te wijzigen of in te trekken is. Weigeren is één klik en geen zoektocht door een instellingenmenu — en wie weigert krijgt nog steeds een werkende site.