Säkerhet
Byggt för att hantera känslig information
Ert säkerhetsläge är information en angripare gärna vill ha. Därför är Värn utformat med samma principer som vi förespråkar för er.
Isolering per organisation
All data är knuten till en organisation och skyddas med radnivåsäkerhet (RLS) i databasen, minsta möjliga behörigheter och sammansatta främmande nycklar. Isoleringen verifieras med automatiska tester vid varje ändring.
Verifierad omfattning
Värn kontaktar bara domäner där ni publicerat en unik DNS-post. Ägarskapet kontrolleras igen var 30:e dag, och tas posten bort upphör övervakningen.
Skydd mot missbruk av skannern
Skannern ansluter aldrig till privata eller reserverade adresser, molnleverantörers metadatatjänster eller interna namn. Varje anslutning valideras på nytt för att stoppa DNS-rebinding.
Endast passiva kontroller
Vanliga DNS-uppslag, TLS-handskakningar och HTTP-förfrågningar mot startsidan. Inga lösenord testas, inga formulär skickas och inga sårbarheter utnyttjas.
Minimal datainsamling
Vid dataläckor lagras bara läckans namn, typ av uppgifter och berörda konton – aldrig lösenord. Cookievärden och variabla hemligheter i svar sparas aldrig.
Stark inloggning
Lösenord om minst 12 tecken, bekräftad e-postadress och tvåstegsverifiering (TOTP). Organisationer kan kräva tvåstegsverifiering för alla medlemmar.
Roller och behörigheter
Fyra roller med tydliga gränser. Behörigheter kontrolleras både i applikationen och i databasen, och den sista ägaren kan aldrig tas bort.
Granskningslogg
Behörighetsändringar, verifieringar, borttagningar och rapporter loggas med tidpunkt och utförare och kan inte ändras i efterhand.
Webbsäkerhet
Strikt Content-Security-Policy med engångsnonce, HSTS, skydd mot inramning och CSRF, samt felmeddelanden som aldrig läcker interna detaljer.
Öppenhet
Vad vi inte påstår
Förtroende bygger på att vara tydlig med begränsningar.
Vi är inte certifierade. Värn har i dag ingen ISO 27001- eller SOC 2-certifiering. Vi arbetar efter OWASP ASVS och redovisar våra kontroller öppet.
Vi ersätter inte ett penetrationstest. Våra kontroller är externa och passiva. Interna system och applikationslogik bedöms inte.
Ingen källa täcker alla dataläckor. Att inget hittas betyder inte att inga uppgifter har läckt.
Kunddata ska lagras inom EU. Databas och autentisering drivs hos en leverantör i EU-region. Underbiträden redovisas i integritetspolicyn.
Ansvarsfullt avslöjande
Har ni hittat en sårbarhet i Värn? Kontakta oss på security@varnsecurity.se. Beskriv problemet och hur det kan återskapas. Vi bekräftar mottagandet, håller er informerade och vidtar inte rättsliga åtgärder mot den som rapporterar i god tro.
