Zelfgehost
Zelfgehost op je eigen infrastructuur: jij bepaalt waar gegevens staan. Geen telemetrie.
- Stateless server achter een Helm-chart
- PostgreSQL vereist, Redis optioneel, geen message broker
- High availability ingebouwd
Trust center
Security-engineering die je kunt controleren.
Hoe HelixIAM wordt ontworpen, gebouwd, getest en uitgebracht — zodat je securityteam het kan beoordelen voordat een pilot begint.
Securityarchitectuur
Ontworpen voor regie.
Sleutels in eigen beheer
Ondertekeningssleutels per tenant met veilige rotatie, in je HSM via PKCS#11 of in Vault / OpenBao Transit.
- Gebruik je eigen door een CA ondertekende sleutels
- Een eigen key store per tenant
- Online rotatie van key-encryption-keys
Isolatie per tenant
Elke tenant krijgt een eigen realm, gebruikers, sleutels en huisstijl.
- Fijnmazige beheerrechten
- Beheerders per tenant
- Doorzoekbaar auditlog van logins en beheerwijzigingen
Protocollen
Gebouwd op open standaarden.
Identiteit
- OpenID Connect en OAuth 2
- SAML 2.0
- SCIM 2.0
- WebAuthn / FIDO2-passkeys
Tokenbeveiliging
- DPoP (RFC 9449)
- PAR (RFC 9126)
- Resource indicators (RFC 8707)
- Token exchange (RFC 8693)
- mTLS-gebonden tokens, PS256
Europese identiteit
- DigiD-, eHerkenning- en eIDAS-connectoren
- Inloggen met wallet via OpenID4VP Early access
- Uitgifte van credentials via OpenID4VCI Early access
Security-engineeringproces
Elke wijziging, elke release.
- 01
Review
Securityreviews van ontwerpen en wijzigingen aan authenticatie, tokens en sleutelbeheer.
- 02
Analyse
Statische analyse en scans van dependencies en images bij elke wijziging.
- 03
Testen
Geautomatiseerde securitytests in CI, naast unit- en end-to-endtests.
- 04
Ondertekenen
Elke release is ondertekend met cosign en heeft een geattesteerde SBOM.
Releases en melden
Hoe we omgaan met kwetsbaarheden en releases.
Kwetsbaarheden melden
Meld een vermoedelijke kwetsbaarheid via [email protected] (zie security.txt). We streven ernaar meldingen snel te bevestigen, lossen ze op in een nieuwe release en stemmen de openbaarmaking af met de melder.
Ondertekende releases en SBOM
Images en charts zijn ondertekend met cosign en hebben een geattesteerde SPDX-SBOM, geleverd aan klanten met een licentie via een private registry, zodat je kunt controleren wat je draait.
Assurance-roadmap
Onafhankelijke penetratietest in voorbereiding. Tijdens een pilot ben je welkom om zelf securitytests uit te voeren.
Securitypakket
Architectuur, ons bouw- en releaseproces en toegang tot de SBOM, voor je securityvragenlijst en review.
Privacy
Functies die je AVG-verplichtingen ondersteunen.
HelixIAM maakt een organisatie niet uit zichzelf compliant; het geeft je de middelen om aan je verplichtingen te voldoen.
- Ingebouwde AVG-export en -verwijdering per gebruiker
- Vastleggen van toestemmingen
- Doorzoekbaar auditlog met instelbare bewaartermijn
- Zelfgehost: jij bepaalt waar gegevens staan
Beheer
Back-up en herstel.
Gebruikers, configuratie en audit staan in PostgreSQL; sessies staan in PostgreSQL, of in Redis als je dat inschakelt. De HelixIAM-server is stateless. Maak back-ups van PostgreSQL met je gebruikelijke tooling en beheer back-ups van de key store volgens het beleid van je HSM of Vault. Upgradehandleidingen beginnen met een back-upstap, en KubeDNA kan back-up en disaster recovery voor jouw omgeving beoordelen als onderdeel van de ondersteuning bij uitrol.
- Stateless server, standaard twee replica's
- PostgreSQL bevat gebruikers, configuratie en audit
- Prometheus-metrics en alertregels direct inzetbaar
Beoordeel HelixIAM samen met ons.
Een architectuurconsult met engineers van KubeDNA, en ons securitypakket voor je review.