Säkerhet
Så skyddar vi ert hus
Kvitton, adressen och vilka som bor i huset är sådant ni inte vill se någon annanstans. Så här är Husvo byggt för att det ska stanna hos er, och vad vi inte har.
Inloggning Säkerhetskopior Vad vi inte har Rapportera ett hål Driftstatus
-
Inget lösenord att stjäla
Ni loggar in med en länk i mejlet. Länken gäller en gång och i 15 minuter. Appar och anslutna tjänster får en sexsiffrig kod i stället, som gäller i 10 minuter och slutar fungera efter 5 fel försök.
Varför: lösenord återanvänds. När en annan sajt läcker sina prövas samma adress och lösenord överallt, och det går inte här. Husvo sparar inget lösenord, så det finns inget att läcka.
Det betyder också att mejlkorgen är nyckeln. Ge den ett eget lösenord och slå på tvåstegsverifiering hos er mejlleverantör.
-
Krypterat hela vägen
Allt mellan er och Husvo går över https. Webbservern framför appen sköter certifikatet, och appen skickar HSTS, så att webbläsaren vägrar en okrypterad anslutning nästa gång. Adressen slutar på .app, och de adresserna går bara att öppna över https i alla stora webbläsare.
Sidorna har säkerhetsrubriker som stoppar skript från andra värdar och att någon bäddar in Husvo i sin egen sida.
-
En server i EU
Databasen och filerna ligger på en server hos Hetzner i EU. Bilder, kvitton, manualer och protokoll ligger inte i någon öppen katalog. Appen lämnar ut varje fil först när den kontrollerat att ni är med i huset.
-
Säkerhetskopia varje natt
Varje natt kopieras databasen, filerna och nycklarna utan att appen stängs. Kopian av databasen prövas innan den räknas som tagen. En kopia som aldrig prövats är ingen kopia.
När den senaste kopian togs syns på driftstatusen.
-
Bara hushållet ser huset
Varje hus har sina medlemmar, och ägaren bestämmer vem som får redigera och vem som bara får läsa. Den som inte är med i huset får i API:t samma svar som om huset inte fanns, så det går inte att pröva sig fram till andras hus.
Varje adress i API:t prövas automatiskt vid varje ändring av koden: utan inloggning, som någon utanför huset, som läsare som försöker skriva och med ett id från ett annat hus. Glömmer någon ett lås stoppas ändringen innan den når servern.
-
Nycklar hamnar aldrig i loggen
Inloggningskoder, appnycklar och länkarna till hantverkare, köpare och kalendern sparas som kontrollvärden, inte i klartext. Ett test loggar in från början till slut och letar sedan efter koden och nyckeln i loggen. Hittar det dem stoppas ändringen.
Webbserverns logg maskerar nycklarna i adresserna till delade länkar, kalendrar och köparlänkar.
-
AI bara när ni trycker
AI är avstängt på den här servern, så ingenting skickas till någon AI-tjänst.
Vad som sparas och vart det skickas står i detalj under Personuppgifter.
Vad vi inte har
Hellre att det står här än att ni tror något annat.
-
Ingen certifiering
Husvo har ingen säkerhetscertifiering, och ingen extern firma har granskat koden. Det vi gör står på den här sidan.
-
Ingen tvåstegsinloggning i Husvo
Mejlet är det andra steget. Den som kommer åt er mejlkorg kommer åt Husvo.
-
En server
Husvo kör på en server. Går den ned är Husvo nere tills den är uppe igen, och vi lovar ingen drifttid. Läget syns på driftstatusen.
Rapportera ett säkerhetshål
Ingen kontaktadress för säkerhet är inställd på den här servern. Den som har ett konto når oss under Tyck till i appen.
- Berätta vad ni gjorde, vad som hände och vilken adress det gällde. Steg för steg räcker gott.
- Pröva bara mot ert eget konto och ert eget hus. Läs, ändra eller radera aldrig någon annans uppgifter.
- Vänta med att berätta det offentligt tills hålet är lagat.
Det finns inget belöningsprogram.