Hvad koden faktisk gør

Tjekket mod koden den 16-09-2026

1. Enhver databaseforespørgsel passerer gennem en Prisma-udvidelse, der knytter den til anmodningens organisation, og en forespørgsel uden organisationskontekst fejler i stedet for at returnere rækker.

2. TOTP-seeds og tokens fra tredjepartsudbydere gemmes krypteret med AES-256-GCM, med en nøglering, der tillader nøglerotation uden at miste adgang til eksisterende data.

3. Ethvert HTML-svar får en Content-Security-Policy med en tilfældig nonce per anmodning, og et inline-script uden denne nonce kører ikke.

4. Ethvert tilstandsændrende kald med en medarbejdersession skal sende et CSRF-token, der matcher cookien, og håndhævelsen kan ikke deaktiveres i produktion.

5. Et link til en godkendelseskvittering er signeret med HMAC-SHA256, signaturen verificeres før enhver databaselæsning, og alle fejl returnerer den samme 404-fejl.

   Et delingslink er et tilfældigt token på 32 byte, hvoraf kun SHA-256-værdien gemmes, med udløb, en valgfri adgangskode og øjeblikkelig tilbagekaldelse; et tilbagekaldt, udløbet eller ukendt link returnerer den samme 404-fejl.

6. Hver uploadet fil scannes med ClamAV på en privat VM i VPC'en, før der oprettes en visningskopi af den, og en fil uden en ren scanning tilbageholdes og leveres ikke.

   Filer over 2 GiB tilbageholdes og scannes ikke. En tilbageholdt fil leveres ikke.

7. En kunde går ind på kundeportalen uden en konto via en kode, et link, telefon eller e-mail; kun en HMAC af koden eller tokenet gemmes, en indgang udløber (som standard efter 30 dage), og en tilbagekaldelse afbryder forbindelsen til alle enheder inden for to minutter.

8. Aktivitetsloggen er append-only i applikationen: ingen kodesti opdaterer eller sletter en audit-række, og en CI-gate fejler ved ethvert forsøg på at tilføje en.

9. Hver API-rute er hastighedsbegrænset per bruger eller klient-IP via en delt Redis-tæller på tværs af instanser; når Redis er utilgængelig, falder grænsen til en tredjedel per instans i stedet for at åbne op.

10. Sessionen er en signeret JWT-cookie (HS256) med HttpOnly, Secure og SameSite=Lax, udløber efter to inaktive timer og kan tilbagekaldes på alle enheder på én gang; adgangskoder gemmes som scrypt-hashes, og MFA-gendannelseskoder gemmes kun som HMAC'er.

11. Kundeportalen, delingslinks, kvitteringer, accept af invitationer samt siderne til fuldførelse af oprettelse og nulstilling af adgangskode er forsynet med noindex, og robots.txt afviser /api/, /admin, /app og /coupons.

12. En workspace-ejer eksporterer dataene og sletter sit workspace eller sin egen konto uden at spørge os; sletningen spærrer adgangen med det samme, og permanent sletning kører automatisk efter 30 dage, hvilket er det antal, der står i vilkårene, privatlivspolitikken og DPA'en.

13. Hemmeligheder indlæses fra Secret Manager på udrulningstidspunktet, valideres ved opstart (minimumslængde, placeholder-værdier afvises, krypteringsnøglen skal være 32 tilfældige byte) og fjernes fra logfiler og fejlrapporter.

14. Planlagte kald godkendes med en HMAC-SHA256-signatur inden for et tidsvindue på fem minutter eller et Google OIDC-token, og en statisk bearer-secret afvises i produktion.

15. Enhver udgående anmodning til en brugerdefineret adresse (Drive-import, webhooks) kontrolleres mod private adresseområder, herunder efter omdirigeringer og ved oprettelse af forbindelse.

16. En API-anmodningsbody er begrænset til 1 MiB og kontrolleres mod et strengt skema, der afviser ukendte felter, før koden rører ved den.

17. Filtypen bestemmes ud fra selve bytesne frem for browserens angivelse, og en fil, der overskrider planens kvote eller grænsen pr. fil, afvises før upload.

18. Enhver objektsti kontrolleres mod organisationens præfiks før signering, læsning eller sletning, og filer leveres via tidsbegrænsede, signerede URL'er (6 timer til visning, 5 minutter til download).

19. AI-forslag gemmes som forslag og anvendes først, når en person godkender dem, og AI-kode må ikke åbne et system-scope over kundedata; en CI-gate håndhæver dette.

20. Enhver udrulning består først den fulde testsuite med dækning, kodegates og npm audit på high-niveau; en produktionsudrulning gennemgår også en canary med readiness-probes.