Veiligheid
We houden de aanvalsoppervlakte klein: geen betalingen, geen gevoelige gegevens, geen externe scripts. Hieronder hoe je iets kunt melden en wat we in het verleden hebben opgelost.
Een kwetsbaarheid melden
Vond je een beveiligingsprobleem? Meld het via het contactformulier met onderwerp ‘beveiliging’. Geef ons een redelijke termijn om het op te lossen voordat je het openbaar maakt. We reageren binnen enkele werkdagen. Het adres staat ook in security.txt.
Hoe we het aanpakken
- Wachtwoorden als scrypt-hash, tokens als SHA-256-hash.
- Sessiecookie met
__Host-voorvoegsel, HttpOnly, Secure en SameSite=Lax; CSRF-controle op wijzigingen. - Beperking op inlogpogingen, registraties en berichten.
- Strikte Content-Security-Policy, geen inline-scripts, geen externe bronnen.
Opgeloste meldingen
Inlogpogingen waren onvoldoende beperkt. Een limiet per e-mailadres toegevoegd (vijf pogingen, dan 15 minuten wachten).
API-tokens werden in leesbare vorm bewaard. Omgezet naar een SHA-256-hash; bestaande tokens opnieuw uitgegeven.
Een publieke videolink was te kort en daardoor te raden. De tokens zijn langer en willekeuriger gemaakt.
Een wijziging in de sessiecontrole maakte uitloggen op andere apparaten onbetrouwbaar. Teruggedraaid en met een test afgedekt.
Niet elk wijzigend verzoek via de sessiecookie controleerde het CSRF-token. De controle geldt nu overal.