Veiligheid
Zo beveiligt Scotis je gegevens.
Wat er op je apparaat gebeurt, wat er over het internet gaat, en waar de grenzen liggen. Zonder vaktaal waar het kan, met de techniek erbij voor wie dat wil.
Op je apparaat
- Alles wat je invoert of importeert wordt in je browser versleuteld met AES-256-GCM en bewaard in de opslag van je browser (IndexedDB), alleen op dat apparaat.
- De sleutel wordt afgeleid van je wachtwoord met PBKDF2-SHA256, 600.000 rondes (de aanbeveling van OWASP), met een willekeurige salt. Elke keer opslaan krijgt een nieuwe willekeurige IV.
- De sleutel staat alleen in het geheugen zolang de app open is. Na de ingestelde tijd vergrendelt de app zichzelf.
- Importbestanden (bank, broker, pensioen) worden op je apparaat gelezen en niet geüpload.
Herstelcode
- Bij de start maakt de app op je apparaat een herstelcode van 24 tekens (ongeveer 120 bits willekeur).
- Met die code wordt een tweede versleutelde kopie van je gegevens gemaakt (PBKDF2, 210.000 rondes). De sleutel van die kopie is zelf weer versleuteld met je wachtwoord, zodat de kopie bij elke wijziging wordt bijgewerkt.
- Vergeet je je wachtwoord, dan kies je met de code een nieuw wachtwoord. De code komt nooit bij ons. Maak je een nieuwe code, dan werkt de oude niet meer.
Rem op raden
Na 3 verkeerde pogingen (wachtwoord of herstelcode) moet je 30 seconden wachten. Bij elke volgende fout verdubbelt de wachttijd, tot maximaal een uur. Ook herladen helpt niet. Er is bewust geen definitieve blokkade: wij kunnen niets resetten, dus dan zou je jezelf voorgoed buitensluiten.
Sync en partner
- Sync is end-to-end versleuteld met een willekeurige AES-256-sleutel die alleen op je apparaten staat. Die sleutel reist mee in de koppellink of QR-code, nooit naar onze server.
- Onze server bewaart alleen de versleutelde gegevens, een versienummer en de laatste 7 dagelijkse versleutelde kopieën. Wij kunnen ze niet lezen.
- Je partner kijkt mee op een eigen apparaat, met een eigen wachtwoord en herstelcode.
Wat er wél over het internet gaat
| Naar | Wat | Waarom |
|---|---|---|
| De koersdienst die je instelt | De tickers waarvan je koersen opvraagt, met jouw sleutel | Koersen bijwerken; geen bedragen |
| Europese Centrale Bank (via Frankfurter) | Verzoek om wisselkoersen | Omrekenen naar euro |
| Scotis-server | Versleutelde sync-data, licentie, e-mailadres bij Pro | Sync en abonnement |
| Resend (namens Scotis) | Je e-mailadres | Bevestiging van de founding-lijst; vanaf de lancering ook inlogcodes voor Pro |
| Paddle (vanaf de lancering) | Betaalgegevens, rechtstreeks bij Paddle | Betalen; wij zien je betaalgegevens niet |
Geen trackingcookies, geen advertentienetwerken, geen analysetools die je volgen.
Een lek melden
Vind je een kwetsbaarheid? Stuur een e-mail naar [email protected] met "security" in het onderwerp. We streven ernaar om binnen 3 werkdagen te reageren en maken niets openbaar voordat het is opgelost.