Zero-knowledge-versleuteling

Hoe ZZPilot Cloud je administratie beschermt

Dit leggen we uit zonder overdrijving — wat het wél garandeert, en waar de eerlijke grens van die garantie ligt.

Wat we technisch niet kunnen

Je wachtwoord verlaat nooit je browser. Uit je wachtwoord wordt lokaal, met Argon2id (dezelfde soort sleutelafleiding als bij Bitwarden en 1Password), een sleutel berekend die je hele administratie versleutelt vóórdat er iets naar onze server gaat. Wat op onze server terechtkomt, is uitsluitend ciphertext — een reeks onleesbare bytes. Er bestaat geen "admin-modus" of noodknop waarmee wij, of wie dan ook met toegang tot onze database, je klantnamen, bedragen of facturen kunnen lezen. Zelfs facturen worden als PDF in je eigen browser getekend — die PDF gaat nooit als leesbare tekst over het netwerk.

Hoe je dit zelf kan controleren

De versleutelingscode (/static/crypto.js) draait zichtbaar in je browser — open de ontwikkelaarstools en lees 'm.
Vraag ons gerust om de broncode van de server te laten zien: die bevat geen enkele plek waar een wachtwoord of vault-sleutel wordt opgeslagen.

De eerlijke grens: ZZPilot Cloud is een webapp. Bij elke keer inloggen stuurt onze server de versleutelingscode naar je browser. Als iemand die server ooit zou compromitteren, zou die in theorie een aangepaste versie van die code kunnen sturen die je wachtwoord onderschept vóórdat het versleuteld wordt. Dit is een bekende, fundamentele beperking van elke browser-gebaseerde zero-knowledge-app — ook bij Bitwarden, Proton en 1Password geldt dit, ook al zeggen niet alle aanbieders dat er hardop bij. Wij zeggen het liever wel: we kunnen technisch niet bij je data, mits je de code vertrouwt die je browser op dat moment laadt.

Wat dit in de praktijk betekent

Een datalek van onze server levert een aanvaller alleen versleutelde brokken op — geen leesbare klantgegevens, bedragen of bonnetjes.
Wij kunnen je wachtwoord niet resetten en je data behouden — dat zijn bewust twee losse dingen. Alleen jouw wachtwoord óf je eenmalig getoonde recovery-key kan je vault openen. Ben je beide kwijt, dan is de data onherstelbaar — geen bug, maar het punt van het hele ontwerp.
Bijlagen (bonnetjes/facturen) worden met dezelfde sleutel versleuteld vóór upload — ook die zijn voor ons onleesbaar.

Wat nog niet versleuteld door dit systeem loopt

Je e-mailadres (nodig om in te loggen) en betaalgegevens bij Mollie (als je een betaald abonnement neemt) zijn geen boekhoudgegevens en vallen buiten deze vault — die worden behandeld volgens de gebruikelijke regels voor accountgegevens, niet volgens het zero-knowledge-principe hierboven.

← Terug naar ZZPilot Cloud