Privébewijs verdient duidelijke grenzen.

Applicatiecontroles

Authenticatie, vereisten voor geverifieerde e-mail, servervalidatie, autorisatiebeleid, snelheidslimieten, ondertekende koppelingen, versleutelde inloggegevens en auditgebeurtenissen waaraan alleen kan worden toegevoegd, beschermen gevoelige processen.

Privébronnen worden geautoriseerd op basis van eigenaarschap van de organisatie en niet doordat identificatoren verborgen zijn.

Bewijsbestanden

Bewijs wordt buiten het openbare bestandssysteem opgeslagen, hernoemd, gehasht, op MIME-type gecontroleerd, in grootte beperkt en asynchroon gescand. Een ontbrekende scanner levert nooit ten onrechte de status schoon op.

Uitgaande verzoeken

Domeinverificatie en monitoring weigeren loopback-, privé-, link-local-, multicast-, gereserveerde en cloudmetadatabestemmingen. DNS wordt bij omleidingen opnieuw gevalideerd en de responsgrootte en -duur zijn begrensd.

Verantwoorde openbaarmaking

Meld een vermoedelijk beveiligingslek via het geverifieerde contactadres in de juridische kennisgeving, met reproductiestappen en beperkt bewijs. Open geen gegevens van andere gebruikers, verstoor de dienst niet en voeg geen onnodige persoonsgegevens toe.