Is Safha veilig? Beveiliging en je bestanden

We verkopen je persoonsgegevens niet, tonen geen gerichte advertenties en gebruiken geen advertentiecookies of trackingcookies van derden. Het Content Security Policy van de site laat onze pagina’s alleen verbinding maken met ons eigen domein (connect-src 'self').

Je hebt geen account nodig om de tools te gebruiken. Onze statistieken zijn van onszelf: we slaan nooit je volledige IP-adres op, maar zetten het om in een gehasht token met een geheim dat elke dag verandert. Logs van tools bevatten nooit je bestandsnamen of -inhoud, alleen de tool, waar die werkte, of het lukte, hoe lang het duurde en een globaal groottebereik.

Het bestand wordt in je browser gelezen en verwerkt, en je downloadt het resultaat vanuit de browser zelf. Het bestand wordt naar geen enkele server gestuurd. Dit geldt voor de meeste PDF- en afbeeldingstools, zoals samenvoegen, splitsen, draaien, je eigen bestand ondertekenen en afbeeldingen comprimeren.

Sommige tools hebben software nodig die niet goed in een browser draait, zoals Office-conversies en OCR. Hier wordt je bestand via een versleutelde verbinding naar onze conversiedienst gestuurd, die het verwerkt en wist zodra je resultaat is verstuurd.

PDF samenvatten, PDF vertalen en Vraag het je PDF halen de tekst uit je bestand en sturen die tekst, niet het bestand, via een versleutelde verbinding naar Anthropic. De details staan in het onderdeel AI. We raden aan deze tools niet te gebruiken voor zeer gevoelige documenten.

Als je anderen vraagt een document te ondertekenen, bewaren we het tot iedereen heeft getekend: het document, de namen en e-mailadressen van de ondertekenaars, en een audittrail van elke stap. Deze functie is alleen voor accounthouders. Hoe lang we het bewaren, staat onder Bewaren en verwijderen.

Er bestaat geen officieel ‘AVG-certificaat’, en we beweren ook niet dat we er een hebben. We passen wel de principes toe: we verzamelen zo weinig mogelijk gegevens, stellen een termijn aan alles wat we bewaren, en leggen uit waar elk bestand wordt verwerkt. Je rechten zijn onder meer:

• Wissen: verwijder je account zelf op de pagina ‘Mijn account’.
• Rectificatie: wijzig je naam en taal op de pagina ‘Mijn account’; mail ons voor al het andere.
• Inzage en overdraagbaarheid: vraag een kopie van je accountgegevens aan via [email protected].

We passen praktijken toe uit de richtlijnen van OWASP voor de beveiliging van webapplicaties, waaronder:

• Content Security Policy (CSP): scripts en verbindingen zijn beperkt tot ons domein, en de site kan niet in andere sites worden ingesloten.
• Bescherming tegen SSRF: HTML naar PDF en HTML naar afbeelding accepteren alleen openbare http- en https-links, en we controleren het IP-adres bij elke verbinding en elke doorverwijzing, zodat geen enkel verzoek ons interne netwerk kan bereiken.
• Geïsoleerde weergave: de browser die webpagina’s weergeeft, heeft geen directe internettoegang; elk verzoek ervan gaat door diezelfde controle, en scripts staan standaard uit in geüploade HTML-bestanden. Macro’s in Office-bestanden worden nooit uitgevoerd, en elke conversie draait in een eigen proces met een tijdslimiet en een grens aan wat het mag schrijven.

Irak heeft de Wet op de elektronische handtekening en elektronische transacties nr. 78 van 2012. Handtekeningen in Safha zijn eenvoudige elektronische handtekeningen: we bewaren een audittrail met het tijdstip van elke stap, en een SHA-256-vingerafdruk van het originele en het definitieve document. Het zijn geen handtekeningen die door een certificeringsinstantie zijn gecertificeerd, en we geven geen juridisch advies over hun geldigheid. Heeft je document een handtekening met een bepaalde juridische status nodig, raadpleeg dan een jurist.

• ISO/IEC 27001: een managementsysteem voor informatiebeveiliging opbouwen volgens deze norm, voorafgaand aan een onafhankelijke beoordeling.
• Een onafhankelijke penetratietest door een extern bedrijf.
• Tweestapsverificatie voor beheerdersaccounts.
• Versleuteling in rust voor bestanden van handtekeningverzoeken.

Safha draait op een server die is gehuurd van Contabo GmbH, waarvan het adresbereik volgens het register van RIPE NCC in Duitsland is geregistreerd. Elke dienst draait in een eigen Docker-container die met Coolify wordt beheerd: de website-app, de conversiedienst en een PostgreSQL-database.

Het verkeer van de site gaat via het netwerk van Cloudflare, waarvan de dienst automatische bescherming tegen gedistribueerde denial-of-service-aanvallen (DDoS) omvat. Op de server zit de database op een intern netwerk dat is afgesloten van internet, en de conversiedienst accepteert geen verbindingen van buitenaf: alleen de website-app kan hem bereiken, met een gedeeld geheim token.

• De hele site draait via HTTPS, en HTTP-verzoeken worden doorgestuurd naar HTTPS.
• Verbindingen ondersteunen TLS 1.3.
• We sturen een HSTS-header voor twee jaar (max-age=63072000; includeSubDomains), zodat je browser de site alleen via een versleutelde verbinding opent.
• De verbinding tussen Cloudflare en onze server is ook versleuteld, met een geldig TLS-certificaat.

We bewaren weinig op de server: accounts, workflows, opgeslagen cv’s en statistieken in de database, en bestanden van handtekeningverzoeken op de schijf van de server. Wachtwoorden en tokens van ondertekeningslinks worden alleen als hash opgeslagen (bcrypt en SHA-256). Voor de duidelijkheid: vandaag versleutelen we de database en de bestanden van handtekeningverzoeken niet in rust met een eigen sleutel; ze worden beschermd door netwerkisolatie en serverrechten.

Safha heeft maar twee rollen: lid en beheerder. Het beheerdersdashboard opent alleen voor een account met de rol beheerder, en we controleren die rol twee keer op de server: als het dashboard wordt bereikt, en daarna bij elke pagina en actie erin. De rol van een account wijzigen of het blokkeren beëindigt meteen de sessies ervan.

• De conversiedienst draait als gebruiker zonder rootrechten op een alleen-lezen bestandssysteem, en schrijft alleen naar een tijdelijke map in het geheugen.
• Hij leest zijn geheimen één keer bij het opstarten en geeft daarna de rootrechten op; die geheimen bereiken de conversieprocessen nooit.
• De sleutel van Anthropic staat alleen in de conversiedienst; hij bereikt nooit de website-app of de browser.
• Het wachtwoord van de database en de sleutel om sessies te ondertekenen worden door het deploymentplatform gegenereerd; niemand typt ze met de hand.

We bieden vandaag geen tweestapsverificatie voor beheerdersaccounts, en we zullen ook niet beweren dat we dat doen. Tot we die toevoegen, wordt het eerste beheerderswachtwoord willekeurig gegenereerd door het deploymentplatform, en zijn inlogpogingen beperkt zoals bij elk account.

Acties die apparaten van gebruikers bereiken, zoals het versturen van meldingen en het publiceren van app-versies, worden vastgelegd met de identiteit van de beheerder en het tijdstip.