Beveiliging van Fruithofke Operations

Deze pagina maakt onderscheid tussen wat in de huidige publieke beoordelingsrelease actief is en wat pas in een afzonderlijke, later goedgekeurde runtime-release mag worden geactiveerd. Ze is geen ISO-, SOC- of andere certificeringsclaim.

security-publication-status: production_controls_pending_supervised_evidence

Huidige publieke beoordelingsrelease

• Alleen de statische publieke informatie en een secret-vrije statuscontrole zijn beschikbaar. publicPublication kan gereed zijn, terwijl runtimeReadiness, Exact API-toegang en databasegebruik afzonderlijk geblokkeerd blijven.
• /login, /try en /start tonen uitsluitend dezelfde informatieve GET-pagina. Zij tonen geen formulier, zetten geen CSRF- of sessiecookie en raken geen operatoraccount of database. /operator verwijst anoniem terug naar /login.
• Deze release bevat geen operatorcredentials, Exact-clientcredentials, tokens, databaseverbinding of cronsecret. De configuratie weigert ook een lege waarde onder zo'n runtimenaam.
• OAuth-start, callback, Exact API-gebruik, audits, exports, cronverwerking en alle muterende requests stoppen vóór state of externe I/O. Deze release voert geen Exact-call uit.
• Publieke antwoorden gebruiken vaste securityheaders, noindex, nofollow en voor status- en reviewroutes no-store. De statische pagina's bevatten geen scripts of extern geladen code.
• Een beschermde Vercel Preview blijft een niet-goedgekeurd target: de status blijft geblokkeerd en runtime-entryroutes weigeren de niet-canonieke ingress. Preview ontvangt geen echte Exact-secret, token, Fruithofke-divisie of productiedatabase.

Toegang in de runtimecandidate — nog niet geactiveerd

De repository bevat broncode voor onderstaande controles. Het geverifieerde Supabase Free-project bevat het tweemaal idempotent uitgevoerde kernschema 001–007 en de teruggelezen finale rolpolicy, maar er is geen gedeployde operatorruntime of actieve Exact-koppeling. Deze controles mogen pas na de benoemde goedkeuringen en begeleid Production-bewijs worden ingezet:

• alleen een vooraf aangewezen Fruithofke-operator; een scrypt-hash in plaats van de wachtzin; willekeurige, server-side en intrekbare sessies; duurzame rate limiting; en eenmalige actie- en CSRF-bescherming;
• begrensde JSON- en formulierparsing, correcte Origin en de vaste canonieke Production-ingress;
• activatie uitsluitend op Vercel Production wanneer de deployment-SHA exact overeenkomt met een afzonderlijk goedgekeurde release-SHA. Preview blijft altijd geblokkeerd;
• het geverifieerde Supabase-project, beperkte PostgreSQL-rollen en het private-schema-/ACL-contract; een gedeployde runtimeverbinding en volledige live bewijsronde ontbreken nog;
• monitoring, logtoegang en retentie, plus de geautoriseerde tijdelijke Free-pilotuitzondering met zeven dagen versleutelde back-upretentie, RPO 24 uur en één begeleide werkdag RTO. De exacte 168-uursklok is nog niet geactiveerd.

Exact OAuth en gegevens — goedgekeurde app, koppeling niet actief

Exact heeft de data- en securityreview goedgekeurd en Fruithofke heeft de privacy-inhoud bevestigd. De volgende broncode-opzet blijft een geteste candidate, geen claim dat OAuth, API-toegang of writes nu live werken:

• alleen Exact Authorization Code OAuth via de Belgische Exact-host; wachtwoordautomatisering blijft verboden;
• willekeurige, eenmalige en kortlevende OAuth-state, gebonden aan operatorsessie, omgeving en exacte redirect-URI;
• afzonderlijke AES-256-GCM-tokenversleuteling, geserialiseerde refresh-tokenrotatie en fail-closed statussen voor onbekende OAuth- of refreshuitkomsten;
• CurrentDivision als eerste API-controle en een harde administratie-allowlist vóór een bruikbare koppeling;
• een identity-first, begrensde en hervatbare controle; de afzonderlijke Exact-schrijfmodule en duurzame outbox blijven standaard gepauzeerd en vereisen een eigen providerwrite-akkoord;
• bevestigde intrekking in Exact Security Centre vóór normale lokale tokenverwijdering, met een afzonderlijke lokale noodprocedure die remote intrekking nooit als bewezen presenteert.

De bestaande Exact-registratie, het bestaande Vercel-project en het bestaande Supabase-project blijven behouden. De voorbereide canonieke host https://fruithofke.cologydigital.com en de bijbehorende callback vormen na een afzonderlijk goedgekeurde cutover de vaste Fruithofke-identiteit. Er komt geen tweede app of project. Die identiteit maakt OAuth of providerwrites niet automatisch actief.

Ontwikkeling en controle

Wijzigingen worden in Git bijgehouden. De CI-workflow test de broncode met coveragegrenzen, synthetische PostgreSQL-proeven, runtime-evidencefixtures, dependency-audit en een read-only invariant. Zulke tests bewijzen geen live Production-database, operator of Exact-verbinding.

De applicatiecode logt alleen toegestane technische velden en emitteert geen tokens, codes, cookies, autorisatieheaders of ruwe Exact-responses. Vercel kan los daarvan requestpad en queryparameters verwerken; toegang, retentie en eventuele Log Drains moeten vóór OAuth-activering worden bewezen.

De Supabase-opzet gebruikt server-side PostgreSQL zonder browser-, anon- of service_role-sleutel. Kernschema en minimale rollen zijn op het geverifieerde project teruggelezen en een versleutelde herstelrondreis is uitgevoerd. Dat bewijs activeert geen webapp: definitieve runtimebinding, Data API-afwezigheid, TLS, regio, heartbeat en pilotretentie worden bij de vrijgave opnieuw gecontroleerd.

Beperkingen van de reviewfase

Dezelfde app en host worden de echte integratie, maar de runtime is nog niet actief. Exact-review en privacy-inhoud zijn bevestigd. Productieactivatie vereist nog het exacte bytegebonden policyrecord, goedgekeurde release-SHA en runtimeconfiguratie, actuele monitoring en herstelcontrole, een afzonderlijk startmoment voor de 168-uurs pilot en begeleide OAuth-autorisatie. Iedere providerwrite vereist daarna een eigen akkoord. Deze release voert geen Exact-call uit.

Kwetsbaarheid melden

Stuur technische meldingen zonder klantdata, tokens of screenshots van Exact naar accounts@cologydigital.com.

Terug naar de app · Privacyverklaring