Hoe we dit in productie draaien.

• Wachtwoorden

  Nooit in platte tekst bewaard. Een scrypt-hash met een willekeurige salt van 16 bytes per account, vergeleken in constante tijd. Minimaal 12 tekens, met verplicht een cijfer en een symbool.

  Bron: lib/auth.ts (hashPassword, verifyPassword, validatePasswordStrength)

• Sessies

  Met HMAC-SHA256 ondertekende cookies, httpOnly, secure, SameSite=Lax, 30 dagen geldig. De server weigert in productie te starten zonder een echt ondertekeningsgeheim: er is geen reservegeheim om op terug te vallen.

  Bron: lib/auth.ts (setSession, SECRET resolver)

• Transport

  HSTS met preload en includeSubDomains, X-Frame-Options DENY, X-Content-Type-Options nosniff, een Content-Security-Policy die de bronnen voor script/style/connect beperkt tot een benoemde allowlist, Cross-Origin-Opener-Policy same-origin, en een Permissions-Policy die camera, microfoon, geolocatie en USB standaard weigert.

  Bron: lib/csp.ts, middleware.ts

• Gegevensresidentie onder de GDPR

  Voor actoren in de EU gaan AI-verzoeken nooit naar een modelaanbieder uit een rechtsgebied zonder adequaatheidsbesluit van de EU: fail-closed afgedwongen in de code vanuit één bron van waarheid en door tests gecontroleerd. Dit is een ondergrens per rechtsgebied, geen volledige beoordeling van doorgiften onder hoofdstuk V van de GDPR voor elke aanbieder die nog in scope is.

  Bron: lib/llm-residency.ts, __tests__/eu-residency.test.ts

• Grenzen aan AI-verzoeken

  Elk verzoek aan de agent is per IP begrensd in aantal, beperkt tot een vast aantal toolaanroepen en wordt afgebroken door een harde tijdslimiet van minder dan een minuut. Onbetrouwbare inhoud (de tekst van een e-mail, een pagina die een audit leest) wordt afgebakend met scheidingstekens en het model krijgt de instructie die als gegevens te behandelen, nooit als instructies.

  Bron: app/api/agent/route.ts, app/api/extension/email-scan/route.ts

• Geüploade documenten

  Kluisbestanden worden gecontroleerd aan de hand van de werkelijke eerste bytes van elk bestand in plaats van het opgegeven type, met per lid een limiet van 50 documenten en 250 MiB, 4.5 MB per bestand.

  Bron: lib/document-limits.ts, lib/documents.ts

• Verwijdering

  Een geverifieerd verwijderingsverzoek wist elke opslag die deze repo voor dat e-mailadres bijhoudt: de rijen van het persoonlijke account en elke seat die het ooit bij een organisatie had: volledig opgelijst op de pagina bewaring. Auditregels bewaren alleen een eenrichtingshash van wie handelde, nooit het e-mailadres in platte tekst.

  Bron: lib/data-stores.ts, lib/erase-user.ts, lib/org-deletion.ts

De diensten staan op subverwerkers. Wat elk niveau van het toestel verstuurt, staat op gegevensstroom. Enterprise-klanten kunnen een ondertekende verwerkersovereenkomst aanvragen.