Beveiliging

Deze vertaling is uitsluitend bedoeld voor het gemak. De Engelse versie is bindend.

Om uw domeinen, DNS, servers en certificaten op één plek te beheren, bewaart InfraNest iets werkelijk gevoeligs: de API-inloggegevens voor uw registrars, DNS-hosts en cloudproviders. Wij vinden dat u precies zou moeten weten wat er met deze gegevens gebeurt voordat u ze overhandigt — niet erna.

Deze pagina is bewust specifiek. Waar wij iets concreets hebben, beschrijven wij hoe het werkt. Waar wij dat niet hebben, zeggen wij dat.

De korte versie

• De inloggegevens van elke organisatie worden versleuteld met een eigen sleutel. Een inbreuk op de sleutel van één klant geeft geen toegang tot die van iemand anders.
• Verwijdert u uw account, dan vernietigen wij die sleutel zodra de verwijdering definitief wordt aan het einde van de prullenbakperiode — waardoor uw geheimen overal onleesbaar worden, ook in back-ups.
• Wij bewaren nooit een privésleutel die wij niet zelf hebben gegenereerd.
• Meld u aan met een passkey — en het verwijderen van een passkey vereist altijd dat u bewijst dat u het echt bent.
• Elke wijziging wordt vastgelegd in een auditlog die u zelf kunt inzien.
• Uw gegevens bevinden zich in Duitsland, in ISO 27001-gecertificeerde datacenters, met offsite-back-ups binnen de EU.
• Wij zijn niet ISO 27001- of SOC 2-gecertificeerd. Dit is wat wij in plaats daarvan doen.

Uw providergegevens

Wanneer u een registrar, DNS-host of cloudaccount koppelt, worden de inloggegevens versleuteld op het moment dat ze binnenkomen en nooit meer getoond.

Elke organisatie krijgt een eigen versleutelingssleutel. Uw geheimen worden versleuteld met een sleutel die uitsluitend aan uw organisatie toebehoort, die op zijn beurt wordt beschermd door onze hoofdsleutel. Dit is het deel dat de moeite van het begrijpen waard is: het betekent dat de reikwijdte van een gecompromitteerde sleutel één klant is, niet allemaal. De meeste platforms versleutelen alles onder één enkele sleutel en beschrijven dat op dezelfde manier.

Het verwijderen van uw account vernietigt die sleutel — zodra de verwijdering definitief wordt. Een verwijderd account komt eerst voor een respijtperiode in een prullenbak terecht, zodat een onbedoelde verwijdering ongedaan kan worden gemaakt; zodra dat venster sluit en de verwijdering definitief is, wordt de sleutel vernietigd. Daarna kunnen uw geheimen niet meer worden gelezen — niet door ons, en niet vanuit een back-up of replica die is gemaakt terwijl uw account bestond. De verwijdering bereikt daadwerkelijk de kopieën die niemand achteraf nog kan bewerken.

Geheimen worden eenmalig getoond. API-tokens, webhook-ondertekeningsgeheimen en herstelcodes voor tweefactorauthenticatie worden weergegeven op het moment dat ze worden aangemaakt en nooit meer teruggegeven — niet in de interface, niet via de API.

Geheimen worden uit onze diagnostische logs verwijderd. Wanneer InfraNest namens u een provider aanroept, leggen wij het verzoek vast zodat een storing kan worden getraceerd. Alles wat op een geheim lijkt, wordt vervangen voordat de registratie wordt weggeschreven — inclusief de opstartscripts van servers, die vaak databasewachtwoorden en registergegevens bevatten. Het onleesbaar maken gebeurt centraal, zodat het nergens kan worden vergeten.

Uw provideraccounts blijven van u. Registrars, DNS-hosts, cloudproviders en chatkanalen die u met uw eigen gegevens koppelt, blijven onder uw overeenkomst met hen vallen. U kunt onze toegang op elk moment intrekken, aan hun kant of aan de onze.

TLS-privésleutels

Onze regel, volledig:

Wij bewaren nooit een privésleutel die wij niet zelf hebben gegenereerd. Sleutels die wij hebben uitgegeven bewaren wij wel, versleuteld, omdat niemand anders ze heeft.

Uw certificaatinventaris bevat uitsluitend metadata — vingerafdruk, subject, uitgever, namen, geldigheid. Er is geen kolom voor privésleutels. Wanneer een certificaat door een provider is uitgegeven en wordt verlengd, halen wij het inzetbare bundelbestand op het moment dat u erom vraagt bij hen op, overhandigen wij het aan u en bewaren wij niets.

Het niet bewaren is zowel veiliger als correcter: die certificaten roteren elke 60–90 dagen, dus een opgeslagen sleutel zou binnen het kwartaal verouderd zijn — en een verouderde privésleutel is erger dan geen, omdat hij probleemloos wordt geïnstalleerd en vervolgens TLS onderbreekt om een reden die niemand naar ons herleidt.

Certificaten die wij uitgeven vormen de andere helft van de regel. Wij genereren de sleutel, de certificaatautoriteit bewaart hem niet, en zonder de onze kan het certificaat niet worden geleverd of verlengd — dus bewaren wij hem wel, versleuteld met de sleutel van uw organisatie, net als elk ander geheim hierboven.

Uw account

• Passkeys. Meld u aan met Face ID, Touch ID of een hardwaresleutel — geen wachtwoord om te phishen. U kunt een passkey op zichzelf gebruiken, of als tweede factor na een wachtwoord.
• Step-up-bevestiging. Bij het verwijderen van een passkey wordt u altijd eerst opnieuw geauthenticeerd — u bewijst dat u het echt bent. Uw organisatie kan diezelfde step-up uitbreiden naar destructieve en ingrijpende acties via de beveiligingsinstellingen (dit staat uit totdat een beheerder het inschakelt).
• Tweefactorauthenticatie (TOTP) met elke authenticator-app. Uw herstelcodes worden gehasht, zodat zelfs wij ze niet kunnen lezen, en ze worden u slechts eenmaal getoond.
• Uw wachtwoord volledig laten vallen is pas toegestaan zodra u een phishingbestendige terugvaloptie heeft — een tweede passkey, of bevestigde 2FA met bijbehorende herstelcodes. Wij laten u geen wachtwoord achter als de zwakke manier om weer binnen te komen, omdat dat het gat zou heropenen dat passkeys nu juist dichten.
• Accountvergrendeling na herhaalde mislukte aanmeldingen, vastgelegd als een beveiligingsgebeurtenis die u kunt inzien.
• Botbescherming bij registratie en het opnieuw instellen van het wachtwoord, en adaptief bij aanmelding na herhaalde mislukkingen.
• Sessies die u kunt inzien en intrekken. Elke actieve sessie vermeldt het IP-adres, apparaat en de globale locatie, zodat een onbekende sessie meteen opvalt. Inactieve sessies verlopen vanzelf, en opnieuw aanmelden vanuit dezelfde browser vervangt de oude sessie in plaats van er nog een bovenop te stapelen.
• API-tokens met beperkte reikwijdte (scopes). Genereer een token dat alleen leest, of dat slechts een deel van InfraNest bereikt. De keuzelijst benoemt wat elke scope daadwerkelijk omvat, omdat de scopes bewust grover zijn dan hun labels suggereren. Twee dingen die een scope vandaag niet beperkt: globaal zoeken, en het aanmaken van nog een token — behandel elk token dat u uitgeeft dus als in staat om er een met volledige toegang aan te maken, en trek in wat u niet meer gebruikt.

Wie uw gegevens kan zien

Elk verzoek is beperkt tot uw organisatie, en beide lagen van ons rechtensysteem weigeren standaard: als een recht niet uitdrukkelijk is verleend, is het antwoord nee. Organisaties kunnen hun eigen rollen definiëren op basis van dezelfde set rechten.

Onze supporttoegang is alleen-lezen. Wanneer een lid van ons team naar een account moet kijken om te helpen bij een probleem, worden schrijfacties gedurende die tijd voor de gehele API geblokkeerd. Support kan kijken. Support kan niets aanraken.

Elke wijziging wordt vastgelegd

Elke actie die iets aanmaakt, wijzigt of verwijdert, wordt weggeschreven naar een auditlog die u zelf kunt inzien, in de instellingen van uw organisatie — wie het deed, wat er veranderde en wanneer. Acties die automatisch namens u worden uitgevoerd, worden eveneens vastgelegd, gemarkeerd als systeemacties.

Dit is geen belofte die wij nakomen door eraan te denken. Onze buildpipeline loopt elk endpoint na dat gegevens wijzigt en laat de release mislukken als er één niet naar de auditlog registreert. De dekking wordt machinaal gecontroleerd, bij elke wijziging die wij uitbrengen.

Hoe lang wij het bewaren, hangt af van uw abonnement — van 7 dagen op het instapabonnement tot 10 jaar op het hoogste. Het aantal voor elk abonnement staat op onze prijspagina, die altijd actueel blijft. U kunt de log op elk moment exporteren, dus als u een langere registratie nodig heeft dan uw abonnement bewaart, haal deze dan op voordat deze verloopt.

Waar uw gegevens zich bevinden

Uw account, uw gegevens en uw inloggegevens worden gehost in Duitsland, in Neurenberg, op Hetzner-infrastructuur die is gecertificeerd volgens ISO/IEC 27001:2022 en BSI C5 Type 2. Onze database draait op een eigen server, gescheiden van de applicatie.

Dat is niet alleen waar de machines toevallig staan. Wij hebben een ondertekende verwerkersovereenkomst conform artikel 28 met Hetzner die de verwerking beperkt tot de EU en de EER, en omdat wij in Duitsland hosten, komen de subverwerkers die zij buiten de EU inzetten helemaal niet in aanraking met uw gegevens. Hun datacenters scheiden de gegevens van de ene klant — en de back-ups van de ene klant — op de virtualisatielaag van die van een andere.

Wat Hetzner niet doet, is uw gegevens voor ons versleutelen. Hun overeenkomst zegt dat onomwonden: versleuteling in rust, van zowel de gegevens als de back-ups, is de taak van de klant. Die klant zijn wij, en de rest van deze pagina beschrijft hoe wij dat doen. Het is goed om te weten dat een hostingcertificaat dit deel nooit dekt — het onze niet en dat van niemand anders.

Monitoringprobes zijn anders, en u kiest ze zelf. Controles draaien vanaf probeservers in de regio's die u selecteert — momenteel Europa, Azië en Noord-Amerika, met na verloop van tijd meer. Een probe bezit geen inloggegevens voor uw account en geen sleutels voor iets wat u heeft gekoppeld: hij draait een vaste, geversioneerde image, authenticeert zich uitgaand bij ons met een eigen token met beperkte reikwijdte, en rapporteert een resultaat.

Wat een probe wél ontvangt, is de definitie van de controles die hij uitvoert — het te controleren adres en alle instellingen die u ervoor heeft geconfigureerd, inclusief aangepaste request-headers. Als u een autorisatieheader op een controle instelt, wordt deze verzonden naar de probes in de door u gekozen regio's. Wilt u liever dat dit de EU nooit verlaat, selecteer dan uitsluitend EU-regio's.

Back-ups verlaten Duitsland, maar niet de EU. De database wordt dagelijks geback-upt naar Backblaze B2 in hun EU-regio (Amsterdam), en wij maken vóór elke migratie een snapshot van de productiedatabase. Uw providergegevens blijven binnen die back-ups versleuteld met de sleutel van uw organisatie — een back-up is geen manier om iets van het bovenstaande te omzeilen.

Infrastructuur en transport

• Alles gaat over TLS. HTTPS wordt afgedwongen met HSTS, zodat browsers niet terugvallen.
• Geharde browserheaders op zowel de app als de API — clickjacking, MIME-sniffing en referrer-lekkage zijn allemaal afgesloten, en toegang tot camera, microfoon, geolocatie en USB is volledig uitgeschakeld.
• Geharde hosts — automatische beveiligingsupdates, beperkte SSH, firewalling en vastgezette dependencies.
• Bewaakte releases. Productie wordt uitsluitend bijgewerkt via een beoordeelde, CI-geteste pull request. Wij maken vóór elke migratie een databasesnapshot en verifiëren dat onze versleutelingssleutel aanwezig is voordat wij deployen.
• Wij voorkomen dat onze eigen servers tegen u worden gebruikt. Elk adres dat u ons opgeeft en dat wij vervolgens ophalen — een monitordoel, een webhook — wordt gecontroleerd om er zeker van te zijn dat het niet verwijst naar interne of cloud-metadata-adressen.

Onze providers, en waarvoor zij gecertificeerd zijn

Wij houden deze lijst bewust kort. Dit zijn certificeringen die onze providers bezitten, voor hun eigen infrastructuur en diensten — geen certificeringen van InfraNest.

De hosting valt onder een ondertekende verwerkersovereenkomst conform artikel 28 met Hetzner, waarbij de verwerking contractueel is beperkt tot de EU/EER. Elke provider hierboven is gebonden aan gegevensbeschermingsvoorwaarden die voldoen aan artikel 28, en wij blijven jegens u verantwoordelijk voor wat zij doen.

Analytics is Umami, zelf gehost op onze eigen infrastructuur en cookieloos — geen enkel extern analyticsbedrijf ontvangt uw gegevens.

Twee andere ontvangen alleen gegevens als u ze inschakelt: Telegram, als u een Telegram-meldingskanaal instelt (wij beheren de bot, en Telegram bevindt zich buiten de EU), en Gravatar, als u avatarafbeeldingen inschakelt — die wij aan de serverzijde ophalen op basis van een hash van uw e-mailadres, zodat Gravatar nooit uw browser of IP-adres ziet.

De volledige lijst, inclusief wat elk verwerkt, staat in onze Verwerkersovereenkomst en ons Privacybeleid. Wij geven 30 dagen van tevoren kennisgeving voordat wij een subverwerker toevoegen of vervangen.

Wat wij niet claimen

InfraNest is niet ISO 27001- of SOC 2-gecertificeerd. Wij zijn een klein, onafhankelijk bedrijf, en die audits zijn een aanzienlijke onderneming die wij nog niet hebben afgerond. Wij zeggen u dat liever ronduit dan op deze pagina een certificeringsbadge te plaatsen die aan onze verhuurder toebehoort.

Wat wij in plaats daarvan doen, staat op de rest van deze pagina: versleuteling die zo is ontworpen dat één inbreuk één klant treft, verwijdering die back-ups bereikt, privésleutels die wij weigeren te bewaren, en auditdekking die een machine bij elke release controleert. Wij moedigen u aan dat af te wegen tegen een certificaat — en ons hoe dan ook kritische vragen te stellen.

Als uw inkoopproces een ingevulde beveiligingsvragenlijst vereist, stuur die dan naar ons. Wij beantwoorden ze.

Een kwetsbaarheid melden

Als u een beveiligingsprobleem heeft gevonden, stuur dan een e-mail naar [email protected] in plaats van een openbaar issue te openen. Dat adres is ook gepubliceerd op /.well-known/security.txt.

Wij verbinden ons ertoe:

• een bevestiging binnen 3 werkdagen
• een triagebeoordeling en ernstclassificatie binnen 7 werkdagen
• regelmatige updates terwijl wij het verhelpen, en vermelding in de release notes als u dat wenst

Voeg alstublieft stappen toe om het te reproduceren, en vermijd toegang tot de gegevens van andere klanten tijdens uw onderzoek.

Ook de moeite van het lezen waard

Privacybeleid · Verwerkersovereenkomst · Voorwaarden · Impressum · Servicestatus

Vragen over wat dan ook hier: [email protected]

Laatst herzien: 30 augustus 2026.