Beveiliging by design

Security by design betekent dat we beveiliging vanaf het begin inbouwen, in architectuur, ontwikkeling en beheer, in plaats van het achteraf toe te voegen. We werken vanuit drie principes: vertrouwen door transparantie, voorkomen gaat voor reageren en continu verbeteren.

Op deze pagina beschrijven we alleen maatregelen die we kunnen aantonen in onze code of in de documentatie van onze hostingpartij. Waar iets niet geregeld is, zeggen we dat.

CoachBall draait op Laravel Cloud, een beheerd hostingplatform op infrastructuur van Amazon Web Services (AWS), met het netwerk van Cloudflare ervoor.

Edge-netwerk: elk verzoek komt eerst bij de dichtstbijzijnde locatie van Cloudflare binnen. Daar gaat het door DDoS-mitigatie en een Web Application Firewall (WAF) voordat het naar de applicatie gaat. Statische bestanden zoals CSS, JavaScript en afbeeldingen worden aan de edge gecachet, en die cache wordt bij elke deployment geleegd.

Compute-netwerk: de applicatie draait in een privénetwerk en is alleen bereikbaar via het edge-netwerk, niet rechtstreeks vanaf internet.

• DDoS-bescherming: overbelastings- en amplificatieaanvallen worden aan de edge opgevangen voordat ze de applicatie bereiken.
• Web Application Firewall: de OWASP Core Ruleset van Cloudflare filtert veelvoorkomende aanvallen, zoals injectie, voordat ze de applicatie bereiken.
• Versleutelde verbindingen: al het verkeer loopt via HTTPS (TLS), met certificaten die automatisch worden vernieuwd.
• Beveiligingsheaders: onze pagina's sturen een Content Security Policy mee die beperkt van welke externe domeinen een pagina iets mag laden en voorkomt dat andere sites CoachBall insluiten, plus X-Content-Type-Options: nosniff en een strikte Referrer-Policy.

• Wachtwoorden worden alleen als eenrichtingshash (bcrypt) opgeslagen. Niemand kan ze lezen, wij ook niet.
• Inlogpogingen zijn begrensd, zodat een wachtwoord niet eindeloos geraden kan worden.
• Cookies zijn versleuteld en elk formulier is beschermd tegen cross-site request forgery (CSRF).
• Toegang per rol: wat iemand kan zien en doen hangt af van zijn rol in het team of de club, bijvoorbeeld coach, speler of ouder.

Elke verbinding met CoachBall is versleuteld en geüploade foto's en bestanden worden door onze opslagpartij versleuteld opgeslagen (AES-256). Wachtwoorden worden als eenrichtingshash bewaard en toegangstokens voor gekoppelde diensten zoals YouTube staan versleuteld in onze database.

We claimen niet dat alle gegevens op applicatieniveau versleuteld zijn. We verkopen teamgegevens nooit, en je kunt je account en je gegevens op elk moment verwijderen.

CoachBall is niet gecertificeerd voor ISO/IEC 27001 en heeft geen SOC 2-rapport. We gebruiken de principes van deze standaarden als leidraad, bijvoorbeeld voor toegangsbeheer, versleuteling en het afhandelen van incidenten.

Onze hostingpartij Laravel Cloud is gecertificeerd voor ISO/IEC 27001 en heeft een SOC 2 Type 2-verklaring voor Security, Confidentiality en Availability. Dat gaat over het platform waarop CoachBall draait, niet over CoachBall zelf.

Voor specifieke compliancevragen, zoals een verwerkersovereenkomst, kun je contact met ons opnemen.

Beveiliging is een doorlopend proces. We monitoren fouten en applicatielogs, werken afhankelijkheden regelmatig bij en controleren onze code op beveiligingsproblemen. Vinden we een probleem, dan lossen we het op en passen we deze pagina zo nodig aan.

Heb je vragen over onze aanpak of wil je meer technische of juridische details? Neem contact met ons op.