Hoe Daylit zichzelf beveiligt: wekelijkse test en Security Watch

Daylit test zichzelf. Elke week bekijken we al onze publieke adressen zoals een buitenstaander dat zou doen. Elk uur leggen we de software in elke container naast de officiële lijsten met lekken. Wat we vinden, zien we in ons beheer. Wat dringend is, krijgen we meteen per mail.

De wekelijkse beveiligingstest

Elke week test het platform zelf elk adres dat Daylit serveert: onze eigen sites en die van klanten. Dat gaat rustig, één verzoek tegelijk, zonder in te loggen en zonder wachtwoorden te raden. Per adres kijken we naar:

Versleuteling: het certificaat is geldig en verloopt niet binnenkort. Oude protocollen (TLS 1.0 en 1.1) worden geweigerd en http gaat naar https.
Beveiligingsheaders: HSTS, nosniff, Referrer-Policy en bescherming tegen clickjacking.
Wat privé moet blijven: geen .git, .env, back-ups van wp-config, debuglogs, phpinfo of mappenoverzichten die openstaan.
WordPress: geen gebruikersnamen voor vreemden, xmlrpc dicht en geen versienummer in de pagina.
De router: alleen de poorten open die we bewust openzetten.

Elke bevinding krijgt een niveau: hoog (nu oplossen), middel of laag. Nieuwe bevindingen van middel of hoger krijgen we direct per mail.

Daylit Security Watch

Elk uur vergelijkt Security Watch de software in elke container met drie officiële bronnen:

de Debian security tracker: elk bekend lek per pakket, met de versie waarin het is opgelost;
de lijst van CISA met lekken die nu actief worden misbruikt;
de beveiligingsadviezen van het NCSC.

Per container maken we eerst een inventaris: het besturingssysteem, elk pakket met zijn versie, PHP, WordPress en de plugins. Loopt een pakket achter op de versie met de oplossing, dan is dat een bevinding. Staat het lek op de lijst van actief misbruik, dan is het kritiek.

Updates gaan bij Daylit via de OTAP-straat: eerst op Test, daarna pas live. Afschermen en patchen zijn bewuste stappen die een mens goedkeurt. Zo houdt een snelle fix je site niet onbedoeld offline.

Wat we verder doen

Eigen container per site: een lek in de ene site raakt de andere niet.
Tweestapsverificatie (passkey of app) voor Mijn Daylit, en voor beheerders altijd verplicht. Live zetten, terugzetten en sleutels accepteren vragen elke keer opnieuw je passkey.
Dagelijkse back-ups en een snapshot voor elke update.
Een auditlog dat niet ongemerkt aan te passen is: wie wat deed en wanneer.
Geen geheimen in pakketten of berichten: sleutels en wachtwoorden staan alleen in de omgeving waar ze nodig zijn.

Eerlijk

Een automatische test vindt niet alles, en we hebben (nog) geen certificering zoals ISO 27001. We bouwen wel volgens die normen en schrijven op wat we doen. Zie je zelf iets wat niet klopt? Mail ons. We reageren snel en noemen je graag als je dat wilt.