Beveiliging

Laatst bijgewerkt: 17 september 2026

Kwetsbaarheid melden

Heb je een beveiligingsprobleem of kwetsbaarheid gevonden in Zeg 't? Meld het dan direct aan ons, zodat we het kunnen oplossen voordat het openbaar wordt. Dat heet coordinated disclosure (verantwoord melden).

Hoe melden

• Stuur een e-mail naar support@zeg-t.nl.
• Zet in het onderwerp "Security: [korte omschrijving]".
• Beschrijf zo precies mogelijk: wat het probleem is, hoe het te reproduceren is en (indien van toepassing) welke stappen je al hebt uitgevoerd.

Wat wij beloven

• Wij reageren binnen 5 werkdagen met een bevestiging.
• Wij behandelen je melding vertrouwelijk en houden je op de hoogte.
• Wij maken de kwetsbaarheid niet eerder openbaar dan nodig en vermelden je bijdrage alleen met jouw toestemming.
• Wij ondernemen geen juridische stappen tegen melders die zich aan dit beleid houden en te goeder trouw handelen.

Wat wij vragen

• Maak geen misbruik van de kwetsbaarheid en benader alleen de gegevens die nodig zijn om het probleem aan te tonen.
• Plaats geen kwetsbaarheid openbaar voordat wij de kans hebben gehad om deze te verhelpen.
• Vernietig eventueel verkregen gegevens na afloop en deel ze niet met derden.

Maatregelen

• Wachtwoorden worden gehasht met scrypt en met een constante-tijdvergelijking gecontroleerd.
• Tweestapsverificatie is beschikbaar via een authenticator-app (TOTP), een e-mailcode of een passkey (WebAuthn). Het TOTP-geheim wordt versleuteld opgeslagen en backup-codes liggen alleen gehasht in de database.
• Voor het beheerdersaccount is tweestapsverificatie verplicht. Zonder tweede factor blijft het accountdetail geblokkeerd, en gevoelige beheeracties (detail bekijken, wijzigen, verwijderen) vereisen een verse tweede-factorbevestiging.
• Alle muterende verzoeken (POST/PUT/DELETE) vereisen een CSRF-token.
• Rate limiting draait server-side met een gedeelde teller, zodat limieten een herstart overleven en ook met meerdere workers kloppen.
• E-mailbeveiliging is ingericht met SPF, DKIM en DMARC; DMARC staat op monitor (p=none) tot de rapportage schoon genoeg is om naar quarantine of reject te gaan.

Uitgesloten meldingen

Niet ieder technisch detail is een beveiligingsprobleem. Wij beschouwen onder meer het ontbreken van DNSSEC (onze DNS draait bij Cloudflare; verkeer naar de app is via HTTPS versleuteld) en punten die al in de documentatie of in dit beleid worden genoemd, niet als kwetsbaarheid.

Eigen server

De eigen uitspraakengine draait op een eigen server met een Intel Core i9-14900HX in Friesland (Nederland). Deze server staat volledig in eigen beheer, is niet vanaf het internet bereikbaar en alleen via een versleutelde privéverbinding toegankelijk. Er heeft niemand anders toegang toe. Spreekopnamen worden hier lokaal beoordeeld en direct daarna verwijderd.

Contact

Zeg 't · support@zeg-t.nl