Hoe we uw vertrouwensgegevens veilig houden

Dataresidentie — alles blijft in de EU

SkyQon wordt in de Europese Unie gebouwd, gehost en beheerd. De applicatie en haar database draaien op infrastructuur in Duitsland; de marketingsite en leadverwerking op EU-hosting. Uw accountgegevens, scanhistorie en bewijs verlaten de EU nooit.

Standaard extern

SkyQon scant uw domeinen zoals een aanvaller, een mailprovider of een browser dat zou doen: van buitenaf. We lezen alleen wat al openbaar waarneembaar is — DNS-records, gepubliceerde certificaten, TLS-configuratie en e-mailauthenticatiebeleid. De monitoring vereist geen software op uw systemen, geen inloggegevens en geen inkomende toegang; niets wat wij draaien kan tot binnen uw netwerk reiken.

Wat de optionele agents kunnen — en wat niet

Twee optionele add-ons draaien software op uw eigen hosts; „geen agent” zou zonder nuance dus een onjuiste claim zijn. Een interne discovery-agent (Linux, plus een Windows-versie voor AD CS) inventariseert certificaten en sleutels die nooit op een publieke socket verschijnen, en de Certificate Auto-Renew-agent vernieuwt certificaten ter plaatse. U installeert ze zelf, alleen als u die add-ons afneemt, en hun bereik is bewust smal gehouden:

• Alleen uitgaand. De agent opent elke verbinding naar ons. SkyQon maakt nooit verbinding naar binnen en u opent er geen poort voor.
• Metadata, geen geheimen. Detectie rapporteert algoritme, sleuteltype en -lengte, vingerafdruk, geldigheidsperiode, subject en issuer — nooit een privésleutel, nooit sleutelmateriaal, nooit uw verkeer.
• Uw sleutels blijven van u. Auto-Renew stuurt de ACME-client aan die u al gebruikt; de privésleutel wordt op uw host gegenereerd en verlaat die nooit. Alleen de publieke certificaatketen komt naar ons terug.
• Afgebakende inloggegevens. Elke agent heeft zijn eigen token, serverzijdig gebonden aan uw tenant en alleen schrijvend naar het ingest-endpoint. Een gestolen agenttoken kan uw bevindingen niet lezen en geen andere tenant raken.
• Minimale rechten op uw host. De vernieuwingsagent draait als een niet-geprivilegieerde servicegebruiker in een geharde systemd-unit, en elke waarde die wij hem meegeven wordt tegen een strikte tekenset gevalideerd voordat die een shell kan bereiken.

De precieze belofte is dus deze: de monitoring geeft ons geen weg naar binnen in uw netwerk, dus een compromittering van SkyQon kan niet de uwe worden. Een agent draaien opent precies één pad — uitgaand, alleen metadata — en dat blijft onder uw controle: trek het token in of stop de service op elk moment, zonder het ons te vragen.

Versleuteling

Al het verkeer naar het dashboard en de API wordt via TLS geserveerd. Inloggegevens en tokens van gekoppelde diensten worden op applicatieniveau versleuteld, en off-host-back-ups worden versleuteld voordat ze de server verlaten. Tenantgegevens zijn op databaseniveau geïsoleerd, zodat de ene klant nooit de bevindingen van een ander kan lezen.

Subverwerkers

We houden de lijst van derden die namens ons gegevens verwerken kort en EU-gericht:

• Hetzner (Duitsland) — hosting van applicatie en database.
• Hostinger (EU) — marketingsite en leadcaptatie.
• Brevo (EU) — transactionele en alert-e-mails.
• Paddle: betalingen en Merchant of Record; kaartgegevens raken onze servers nooit.
• Cloudflare: DNS, CDN en edge-bescherming voor onze eigen domeinen.

Ons privacybeleid en de verwerkersovereenkomst beschrijven hoe elk wordt gebruikt en welke waarborgen er zijn.

Toegang en authenticatie

Dashboardaccounts ondersteunen tweefactorauthenticatie (TOTP) en wachtwoordloze passkeys (WebAuthn), en een tenant kan 2FA voor iedereen verplichten. Aanmelden is snelheidsbeperkt en vergrendelt na herhaalde mislukkingen. Administratieve toegang tot productie is beperkt en sleutelgebaseerd.

Responsible disclosure

Als u denkt een beveiligingsprobleem in SkyQon te hebben gevonden, laat het ons weten voordat u het openbaar maakt. Mail [email protected] met voldoende details om het te reproduceren. We bevestigen uw melding binnen drie werkdagen en houden u op de hoogte tijdens ons onderzoek. We ondernemen geen actie tegen onderzoekers die te goeder trouw handelen, privacyschendingen en gegevensvernietiging vermijden en ons redelijke tijd geven om te herstellen. Ons machineleesbare beleid staat op /.well-known/security.txt.

Auditklare bewijzen die u kunt inspecteren

Kaders zoals NIS2 verwachten dat u aantoont dat certificaat- en cryptografiecontroles werken. SkyQon zet uw scanhistorie om in een ondertekend, reproduceerbaar NIS2-artikel-21(2)-bewijsrapport, met een integriteitshash die een auditor kan narekenen en een precieze kaart van wat direct bewezen is, wat ondersteunend is en wat buiten scope valt. In plaats van het te beschrijven: hier is een echt exemplaar, door het product gegenereerd over onze eigen infrastructuur:

Voorbeeld NIS2-rapport downloaden (PDF)

Wat we niet claimen

We zijn liever precies dan indrukwekkend. SkyQon is momenteel niet SOC 2- of ISO 27001-gecertificeerd, en we tonen geen badge die we niet hebben verdiend. Wat we wel bieden: een EU-native dienst, transparante engineeringpraktijken, en dezelfde continue controles die we voor onze klanten uitvoeren, toegepast op onszelf. Als uw inkoopproces specifieke documentatie nodig heeft, neem contact op.

Voer dezelfde controles uit op uw eigen domein

Zie ook: hoe de Trust Score wordt berekend · systeemstatus · privacybeleid.