De belangrijkste punten
- De gegevens van elk restaurant zijn in de database zelf gescheiden, niet alleen in de app.
- Wachtwoorden worden gehasht met scrypt; na herhaalde mislukte pogingen wordt het account 15 minuten geblokkeerd.
- Sessies worden bij elke vernieuwing geroteerd, en een hergebruikte sessie beëindigt de hele inlogketen.
- Aan registraties van bestellingen, contant geld, punten en audits kan alleen worden toegevoegd.
Elk restaurant in een eigen omgeving
Alle restaurants draaien op één platform, maar de database dwingt de scheiding af. Op elke restauranttabel is beveiliging op rijniveau ingeschakeld en verplicht gesteld, en elk verzoek draait in een transactie die op één restaurant is ingesteld. Het account dat de applicatie gebruikt, kan die regels niet omzeilen.
Twee interne rollen mogen voor beperkte taken voorbij die regels: de achtergrondprocessen, die alleen mogen opvragen welke restaurants actief zijn voordat ze hun werk restaurant voor restaurant uitvoeren, en het controlecentrum van het SCALE-team, dat geen toegang heeft tot adressen van klanten, bestellocaties, wachtwoordhashes of de eigen auditlogs van restaurants.
Inloggen en wachtwoorden
- Wachtwoorden bestaan uit 8 tot 128 tekens en worden opgeslagen als scrypt-hashes met een willekeurige salt; ze worden in constante tijd vergeleken.
- Na vijf verkeerde wachtwoorden wordt het account 15 minuten geblokkeerd. Inloggen op een account dat niet bestaat, duurt even lang, zodat niet te achterhalen is welke accounts bestaan.
- Inlogpogingen worden daarnaast per adres beperkt over 15 minuten: 10 voor personeel, 60 voor klanten, 5 nieuwe klantregistraties. De tellingen worden door alle servers gedeeld.
- Verificatiecodes bestaan uit 6 cijfers, vervallen na 10 minuten en mogen een beperkt aantal keren worden geprobeerd.
- Botbescherming van Cloudflare kan worden ingeschakeld voor inloggen en voor het plaatsen van bestellingen.
Sessies die niet opnieuw te gebruiken zijn
Bij het inloggen ontvangt de gebruiker een kortlevend toegangstoken (standaard 15 minuten) en een vernieuwingstoken. Bij elke vernieuwing wordt het vernieuwingstoken door een nieuw vervangen. Wordt een oud token ooit opnieuw gebruikt, dan wordt de hele keten van sessies beëindigd, zodat een gestolen token niet lang bruikbaar is.
Bij elk verzoek wordt ook gecontroleerd of de sessie nog actief is, dus wie een medewerker verwijdert, diens wachtwoord wijzigt of diens rol beperkt, logt die medewerker overal tegelijk uit. Cookies van de console kunnen niet door scripts op de pagina worden gelezen en worden niet door andere sites meegestuurd.
Rollen met minimale rechten
Toegang is opgebouwd uit 29 rechten, van het lezen van bestellingen tot het bevestigen van contant geld of het beheren van personeel. De eigenaar kan rollen maken met elke combinatie daarvan, en medewerkers kunnen worden beperkt tot één vestiging. Niemand kan een recht toekennen dat hij zelf niet heeft, ingebouwde rollen kunnen niet worden gewijzigd, en de laatste actieve eigenaar kan niet worden verwijderd.
De console verbergt wat een rol niet kan gebruiken, maar dat is alleen voor de duidelijkheid: de server controleert bij elke handeling het recht, de vestiging en het lidmaatschap.
Registraties die niet te herschrijven zijn
Aan statuswijzigingen van bestellingen, het puntenregister, voorraadmutaties, de prijsgeschiedenis en het auditlog kan alleen worden toegevoegd. De database weigert elke wijziging of verwijdering, dus correcties worden gedaan door een nieuwe, zichtbare boeking toe te voegen.
Zorgvuldig met klantgegevens
- Bestellocaties worden alleen vastgelegd terwijl de app geopend is, met toestemming, en worden na 180 dagen verwijderd.
- Klanten kunnen hun account verwijderen via de website of de app. Hun adressen, locaties, apparaten, meldingen en wachtwoord worden verwijderd en hun profiel wordt geanonimiseerd.
- Om te voorkomen dat dezelfde persoon opnieuw aanbiedingen voor nieuwe klanten claimt, worden alleen beveiligde vingerafdrukken van het telefoonnummer en het e-mailadres bewaard.