Beveiliging
Deze site is security-first gebouwd. Dit zijn de maatregelen die met de code meekomen, zodat je ze zelf kunt controleren in de response headers en de repository.
Wat er staat
Strikte Content Security Policy
Scripts draaien alleen vanaf deze site. Inline scripts zijn toegestaan op hash, nooit met een algemene 'unsafe-inline'. Framing, plug-ins en vreemde formulierdoelen zijn geblokkeerd.
Geharde transport en headers
HSTS met preload, geen MIME-sniffing, geen framing, een strikt referrer-beleid, cross-origin-isolatieheaders en een Permissions-Policy die sensoren, camera, microfoon en betaal-API's uitzet.
Geen tracking, geen cookies
Geen analytics, geen trackers van derden, geen cookies. Er valt niets toe te stemmen en niets te lekken.
Standaard statisch
Pagina's zijn vooraf gebouwde statische bestanden vanaf Cloudflare's edge. Er is geen database, geen gebruikersaccount en geen servercode om aan te vallen: geen formulieren, geen API.
Infrastructure as code
Het domein, DNS, TLS, DNSSEC en de firewallinstellingen staan als Terraform in de repository. Wijzigingen worden op een pull request gepland en pas na review toegepast, zodat de edge-configuratie controleerbaar en reproduceerbaar is.
Supply chain
De site laadt geen scripts van derden. Dependencies worden bewaakt door Dependabot, gescand met CodeQL en npm audit in CI, en elke wijziging wordt gebouwd en getest vóór deploy.
Een kwetsbaarheid melden
Iets gevonden? Mail naar maurice@mcstoof.com. Een security.txt staat op /.well-known/security.txt.
Ik bevestig je melding zo snel mogelijk en houd je op de hoogte. Onderzoek te goeder trouw is welkom. Voer geen denial-of-service-tests uit, gebruik geen social engineering en kom niet aan gegevens die niet van jou zijn.