Beveiliging

1. Hosting en versleuteling

QR Wait draait op het netwerk van Cloudflare (Workers en Durable Objects) en bewaart zijn gegevens daar. Elke verbinding is versleuteld met HTTPS (TLS), en browsers krijgen de opdracht op qrwait.app en alle subdomeinen alleen HTTPS te gebruiken (HSTS, één jaar).

De pagina's hebben een strikt Content Security Policy: scripts laden alleen van QR Wait en Cloudflare, en geen andere website mag QR Wait in een frame tonen.

Cloudflare geeft aan over ISO/IEC 27001-, ISO/IEC 27701- en ISO/IEC 27018-validaties te beschikken (Cloudflare Trust Hub). Die zijn van Cloudflare; QR Wait zelf heeft geen certificering.

2. Accounts en inloggen

• Wachtwoorden worden alleen als gezouten PBKDF2-SHA-256-hash bewaard. Een nieuw wachtwoord dat in bekende datalekken voorkomt, wordt geweigerd; voor die controle verlaten alleen de eerste 5 tekens van de SHA-1-hash QR Wait (k-anonimiteit).
• Inloggen in twee stappen met een authenticator-app (TOTP), met herstelcodes voor eenmalig gebruik. Eigenaren zien welke teamleden het hebben aangezet.
• Teamleden hebben een rol (eigenaar, beheerder of medewerker) en openen, als ze beperkt zijn, alleen de wachtrijen die ze hebben gekregen.
• Na 5 mislukte inlogpogingen op een account binnen 24 uur is voor inloggen ook een botcontrole nodig (Cloudflare Turnstile).
• Er gaat een e-mail uit als iemand vanuit een nieuwe browser op het account inlogt.
• Een sessie eindigt na 14 dagen zonder gebruik; het wachtwoord wijzigen of 'Andere apparaten uitloggen' beëindigt alle andere.
• Links voor verificatie, wachtwoordherstel en uitnodigingen werken maar één keer, en alleen hun hashes worden bewaard.

3. Snelheidslimieten

Verzoeken worden per IP-adres beperkt aan de rand van het Cloudflare-netwerk: inloggen, aanmelden en wachtwoordherstel 10 per minuut, aansluiten in een wachtrij 60 per minuut, de REST-API 120 per minuut per sleutel en 120 per minuut per IP-adres.

4. Gegevens van bezoekers

• Bezoekers wordt nooit om een telefoonnummer of e-mailadres gevraagd. Een naam wordt alleen gevraagd als het bedrijf dat voor de wachtrij aanzet.
• Een ticket, met de naam en de antwoorden op het formulier erin, wordt uiterlijk 24 uur na het aansluiten verwijderd, ongeacht de instellingen van de wachtrij.
• Er wordt geen locatie bewaard. Als een wachtrij de locatie controleert, worden bij het ticket alleen de afstand tot de wachtrij en het meetmoment bewaard.
• Een QR-code op het scherm van de medewerker wisselt elke 15 tot 75 seconden en elke code werkt 1 tot 5 minuten, dus een elders gedeelde foto laat niemand binnen.
• Wat medewerkers in het paneel doen, wordt 30 dagen gelogd; medewerkerslinks kunnen op elk moment worden ingetrokken.

5. Back-ups

Wat niet opnieuw op te bouwen is (accounts, instellingen van wachtrijen, ticketsaldi), wordt elke dag naar Cloudflare R2 geëxporteerd en vóór het wegschrijven versleuteld: elk deel met een eigen AES-256-GCM-sleutel, die zelf met een publieke sleutel (RSA-OAEP) wordt versleuteld. De privésleutel die ze opent, wordt offline bewaard. Exports worden 35 dagen bewaard.

Tickets staan nooit in een back-up: ze bevatten namen van bezoekers en bestaan hooguit een dag.

6. Koppelingen

• Webhooks worden ondertekend met een geheim dat één keer wordt getoond (HMAC-SHA256 met tijdstempel) en gaan alleen naar openbare https-adressen. Ze bevatten alleen nummers en tijden, tenzij het bedrijf namen toestaat voor een adres.
• API-sleutels worden één keer getoond en alleen als SHA-256-hash bewaard. Een sleutel leest alleen of schrijft ook, en kan op elk moment worden ingetrokken.
• Details voor ontwikkelaars: de referentie voor API en webhooks (in het Engels).

7. Subverwerkers

Deze bedrijven verwerken gegevens namens QR Wait om de dienst te laten werken:

Browsermeldingen lopen via de pushdienst van de browser van de bezoeker zelf. Hoe gegevens Turkije en de EU verlaten, staat in het privacybeleid.

8. Een kwetsbaarheid melden

Schrijf naar hello@qrwait.app met als onderwerp 'Security'. We bevestigen binnen 3 werkdagen en sturen binnen 10 werkdagen een eerste beoordeling. Houd het probleem voor uzelf tot het is opgelost en test alleen met uw eigen accounts en wachtrijen.

We ondernemen geen juridische stappen tegen onderzoek dat zich te goeder trouw aan deze regels houdt. Er is geen betaald bugbountyprogramma. Dezelfde contactgegevens, machineleesbaar: security.txt.