Beveiliging
Veiligheidscontroles die vandaag de dag in het product aanwezig zijn – duidelijk vermeld, zonder marketingmiddelen.
Redactie-eigenaar: Security + Growth. Laatst beoordeeld 2026-09-20. Beoordeling cadans: 90 days.
Toegangs- en identiteitscontroles
Alle onderstaande bedieningselementen zijn live voor productietenants.
| Controle | Detail |
|---|---|
| Op rollen gebaseerde toegangscontrole (RBAC) | ~60 benoemde machtigingen; elke personeelsactie wordt afgesloten op de applicatielaag |
| Meervoudige authenticatie (MFA) | TOTP-gebaseerd; toegepast op alle personeelsaccounts |
| OIDC-personeel meldt zich aan | Personeel kan zich authenticeren via uw OIDC-provider; geen EndorsedSign wachtwoord opgeslagen |
| Wachtwoordbeleid voor wijzigingen in inloggegevens | Platform-afgedwongen minimale complexiteit bij alle paden voor het maken en wijzigen van wachtwoorden |
| Sessiebeheer | Kortdurende sessietokens; op verzoek herroepbaar |
| Toegestane oorsprongscontrole per tenant | Embed en API toegang beperkt tot geregistreerde herkomst; niet-geregistreerde oorsprong afgewezen |
Gegevens- en auditcontroles
| Controle | Detail |
|---|---|
| Isolatie van huurdergegevens | Tenantscoping op elk record dat eigendom is van de tenant. Een geldig token kan geen records van een andere tenant ophalen. |
| Encryptie in rust | Documenten en auditrecords die in rust zijn versleuteld in tenantgerichte opslag |
| Alleen audittrail toevoegen | Hash-geketend gebeurtenislogboek; elke gebeurtenis verwijst naar de voorgaande hash; manipulatie is detecteerbaar |
| Correlatie-ID''s op alle API-verzoeken | Elke API-aanroep bevat een X-Correlatie-ID die in het antwoord wordt geretourneerd; koppelt verzoeken aan auditgebeurtenissen en webhook-leveringen |
| Geen PHI in de inhoud van de melding | Notificatie-instanties bevatten alleen links; geen documentinhoud, geen PHI, geen bijlage in e-mail of SMS |
| PHI-verwijderingspoort voor twee personen | Ingeschakeld met HIPAA-profiel; voor het verwijderen van documenten is bevestiging van twee geautoriseerde medewerkers vereist; gebeurtenis vastgelegd in audit trail |
Hoe de grens wordt gehandhaafd
Documenten, enveloppen, sjablonen, klanten en auditgebeurtenissen die eigendom zijn van huurders zijn voorzien van een huurder-ID die bij elke lees- en schrijfactie wordt gecontroleerd. Op basis van die id worden opslagpaden gegenereerd, zodat bestanden voor de ene tenant niet met een andere worden gemengd. Personeelssessies zijn huurdergebonden. Dit zijn productbeperkingen, geen richtlijnen.
We publiceren geen merknamen van leveranciers voor ondertekening, opslag of levering op deze site. Functies staan vermeld op de subverwerkerspagina; identiteiten worden openbaar gemaakt onder een geheimhoudingsovereenkomst.
Onafhankelijke attesten en ondernemingscontroles
Deze controles zijn nu beschikbaar voor gereguleerde en bedrijfsomgevingen.
| Artikel | Status |
|---|---|
| SOC 2 certificeringsrapport | Beschikbaar onder geheimhoudingsverklaring tijdens beveiligingsbeoordeling |
| SAML SSO | Live voor zakelijke huurders |
| EU-gegevensresidentie | Live voor in aanmerking komende plannen en gereguleerde workflows |
| Gekwalificeerde handtekeningen (QES) | Live voor ondersteunde rechtsgebieden en handtekeningprofielen |
| Bewijs van penetratietesten | Gedeeld via het bewijsproces en de klantveiligheidsbeoordeling |
Controlebewijsmateriaal wordt gedeeld via het vertrouwensbewijsproces.
Meld een kwetsbaarheid
Als u een potentieel beveiligingsprobleem heeft gevonden, kunt u een e-mail sturen naar partnerships@endorsedsign.com met de reproductiestappen. Neem geen klantdocumenten of echte referenties op in het rapport.
We zullen dit binnen één werkdag bevestigen en u op de hoogte houden van de voortgang van het herstel. We zullen geen juridische stappen ondernemen tegen beveiligingsonderzoekers die te goeder trouw zijn.