# Sådan arbejder vi sikkert Sikkerhed er ikke en ydelse, vi sælger separat. Det er sådan, arbejdet udføres: trusselsmodellen er en del af designet, hærdningen er en del af udviklingen, og beviset er en del af overdragelsen. ## Sådan bygger vi - **Færrest mulige rettigheder som udgangspunkt.** Tjenester kører som deres egne brugere uden privilegier og med den snævreste adgang, der lader dem virke. En kompromitteret komponent er en komponent, der ikke kan nå den næste. - **Hemmeligheder når aldrig ind i kodebasen.** Legitimationsoplysninger ligger i en hemmelighedstjeneste eller i udrulningslaget, aldrig i kildekoden og aldrig i et byggeartefakt. Automatisk scanning kører ved hvert eneste commit, og et fund stopper committet. - **Infrastruktur beskrevet som kode.** Servere bygges ud fra en beskrivelse, der kan læses, gennemgås og genopbygges — så en maskines opsætning er et dokument under versionsstyring og ikke en erindring i nogens hoved. - **Afhængigheder låst og gennemgået.** Hvad et system består af, er skrevet ned, og listen tjekkes mod offentliggjorte sikkerhedsadvarsler i stedet for at blive stolet på, fordi den virkede sidste måned. - **Kryptering under overførsel, overalt.** Certifikater udstedes og fornys automatisk, og fornyelsen overvåges, for det typiske TLS-svigt er et certifikat, ingen holdt øje med. - **Backups, der gendannes, ikke bare tages.** En backup er en påstand, indtil nogen har gendannet fra den. Vi tester gendannelsen. ## Sådan er dette site bygget Vi stiller samme krav til vores eget site, og alt herunder kan du efterprøve fra din egen browser. - **Ingen backend, ingen database, intet administrationslogin.** Hver side er en statisk fil, skrevet ud, før du bad om den, så der er ingen applikation at udnytte, ingen session at stjæle og slet ingen flade for injektionsangreb. - **Ét førstepartsscript på under en kilobyte.** Det filtrerer en liste, mens du skriver. Det sender ingen forespørgsler, gemmer intet og kører ingen andre steder. - **En stram [Content Security Policy](/da/glossary/#csp)**, erklæret i siden selv, med `form-action 'none'` — sitet sender ingen formularer nogen steder. - **[Subresource Integrity](/da/glossary/#sri) på stilarket.** Bundtet får et fingeraftryk og en hash, når sitet bygges, så din browser kan verificere, at det kom frem uændret. - **Ingen tredjepartsforespørgsler.** Ingen webanalyse, ingen indlejrede skrifttyper, ingen kortwidget, intet samtykkebanner. Åbn browserens netværksfane, og tæl værterne: der er én, og den er vores. - **Ingen cookies.** Hele spørgsmålet om, hvad der gemmes og ikke gemmes, står på siden om [cookies](/da/cookies/). - **En maskinlæsbar politik for sårbarhedsmeldinger** på [`/.well-known/security.txt`](/.well-known/security.txt), så en forsker, der finder noget, ved, hvor det skal sendes hen uden at spørge først. ## Sådan drives det Én lille server i Toronto, beskrevet som kode, med en adgangslog, der sløres, allerede mens den skrives, og gemmes i omkring tredive dage. [Kolofonen](/da/credits/) nævner hvert stykke software på den; [privatlivssiden](/da/privacy/) siger præcis, hvad den registrerer undervejs. ## Meld en sårbarhed Har du fundet en svaghed i dette site eller i noget, vi driver, så skriv til [welcome@engineer.company](mailto:welcome@engineer.company), og fortæl, hvad du fandt, og hvordan det kan genskabes. Vi bekræfter modtagelsen, fortæller, hvad vi gør ved det, og krediterer dig, hvis du vil krediteres. Der er intet dusørprogram og ingen juridisk trussel — kun en adresse, der når en ingeniør. Vil du have den samme grundighed anvendt på jeres egne systemer? [bed os kigge](/da/contact/) *(vi fortæller, hvad vi rent faktisk finder)*.