Zo houden wij Epistola veilig

Epistola is open source, dus iedereen kan zien hoe het werkt. Elke wijziging wordt beoordeeld en doorloopt geautomatiseerde controles, tests en een scan van de onderdelen die het gebruikt voordat die wordt uitgebracht.

Onze website, inlogdienst en demo-omgevingen draaien op onze eigen servers bij Hetzner in Duitsland. Alle verbindingen gebruiken HTTPS.

• U logt in bij onze inlogdienst, auth.epistola.app, die ook passkeys ondersteunt. De website zelf ziet of bewaart uw wachtwoord nooit.
• Inlogcookies zijn versleuteld, kunnen niet door scripts op de pagina worden gelezen en worden alleen via beveiligde verbindingen verstuurd.
• Als u uitlogt, trekken wij uw inlog ook in bij de inlogdienst, zodat een gekopieerde cookie niemand meer ingelogd kan houden.
• De website voert alleen scripts uit die expliciet zijn toegestaan, via een strikte Content Security Policy.

Wanneer u Epistola zelf draait, houdt uw organisatie de regie over de servers, het netwerk en wie toegang heeft. Voor uw IT-afdeling raden wij aan het onderdeel dat documenten maakt gescheiden van andere systemen te draaien, elke verbinding te versleutelen (TLS) en gemaakte documenten te controleren op ongeautoriseerde wijzigingen.

Wanneer wij Epistola voor u hosten, is uw omgeving gescheiden van die van andere klanten, worden opgeslagen gegevens versleuteld en wordt alles dag en nacht bewaakt. Hosting binnen de EU is op verzoek mogelijk.

Een kwetsbaarheid gevonden? Meld die vertrouwelijk via security@epistola.app. Wij bevestigen de ontvangst binnen twee werkdagen en werken samen met u aan een oplossing. Ons security.txt-bestand noemt hetzelfde contact.

Geef ons een redelijke termijn om een probleem op te lossen voordat u het openbaar maakt, en ga tijdens uw onderzoek niet in gegevens van anderen en verstoor onze diensten niet.