Beveiliging
Bijgewerkt op
Je meetdata vertellen veel: wanneer je thuis bent, wanneer je slaapt, of je met vakantie bent. Daarom is beveiliging bij Energieplatform Vlaanderen geen laag die er achteraf op gezet is, maar een reeks muren achter elkaar. Valt er één, dan staat de volgende er nog.
Laag per laag
Klik op een laag om te zien wat ze tegenhoudt.
Je browser
- Een strikte Content Security Policy: de browser voert enkel scripts uit van de eigen website en van één vaste bibliotheekserver. Ingevoegde scripts in een pagina worden geweigerd.
- De site mag niet in een frame van een andere site getoond worden, zodat niemand je ongemerkt laat klikken.
- Je sessiecookie is enkel via een versleutelde verbinding te versturen en onbereikbaar voor JavaScript.
De website
- Na het aanmelden krijg je een nieuwe sessie, zodat een vooraf gezette sessie niets oplevert.
- Elk formulier draagt een geheim token (CSRF): een andere site kan geen formulier namens jou insturen.
- De programmacode en de instellingen van de website staan buiten de publieke map van de webserver.
De rekendienst
- De dienst die rekent en de databank leest, is niet rechtstreeks bereikbaar vanaf het internet. Enkel de website spreekt ermee.
- Bij elke vraag controleert de rekendienst zelf of jouw account toegang heeft tot het gevraagde dossier. Ook een fout in de website kan dus geen meetdata van iemand anders tonen.
- Vraag je een dossier op dat niet van jou is, dan krijg je "niet gevonden", niet "geen toegang". Zo verraadt het antwoord niet eens dat het dossier bestaat.
De databank
- Alle vragen aan de databank zijn geparametriseerd: wat je invult, wordt nooit als SQL uitgevoerd.
- De databank bewaakt zelf regels, zoals "een meetwaarde is nooit negatief en altijd een getal".
- Rekenresultaten zijn onveranderlijk, en een overschreven meetwaarde gaat eerst naar een archief waaruit niets gewijzigd kan worden.
- Je EAN-nummer staat er niet leesbaar in (zie Privacy en anonimiteit).
Je wachtwoord
Het platform kent je wachtwoord niet. Het bewaart enkel een hash: een onomkeerbare afgeleide, berekend met scrypt en een willekeurig zout per account. Bij het aanmelden wordt de hash opnieuw berekend en vergeleken. De website zelf ziet de hash nooit.
Scrypt is bewust traag en vraagt veel geheugen. Voor jou is dat een fractie van een seconde bij het aanmelden, voor iemand die een gestolen databank wil kraken, is het het verschil tussen uren en eeuwen:
Tijd om alle combinaties te proberen, ruwe orde van grootte voor willekeurige wachtwoorden. Een bestaand woord of "Zomer2026!" valt veel sneller. Daarom vraagt het platform minstens 12 tekens.
Aanmelden en herstellen
- Je e-mailadres bevestigen is verplicht voor je kan aanmelden.
- Na herhaalde foute pogingen wordt een account tijdelijk geblokkeerd. De foutmelding is altijd dezelfde, of het adres nu bestaat of niet: zo kan niemand uitzoeken wie een account heeft.
- Links in mails (bevestigen, wachtwoord herstellen) zijn eenmalig en kort geldig. Het platform bewaart er enkel een hash van: wie de databank zou buitmaken, heeft er geen werkende link aan. Een link wordt pas gebruikt als jij op de knop drukt, niet als een virusscanner van je mailprovider hem vooraf opent.
- Installateurs en beheerders melden aan met tweestapsverificatie: naast hun wachtwoord een code uit een authenticator-app. Die rol wordt nooit via zelfregistratie toegekend.
- Registratie, mails en berekeningen zijn begrensd per tijdseenheid, tegen misbruik en overbelasting.
Wat je oplaadt
Een opgeladen Fluvius-export wordt streng gelezen: enkel geldige, niet-negatieve getallen met een redelijke grootte. Eén ongeldige waarde en de hele upload wordt geweigerd, met een duidelijke melding. Een eerder uitgelezen meetwaarde wordt nooit vervangen door een schatting, en wat wel verandert, wordt eerst gearchiveerd en aan je getoond. Formules van leveranciers worden nooit als code uitgevoerd, maar gelezen als getallen.
Koppelen met andere software
Wie Energieplatform Vlaanderen vanuit eigen software wil gebruiken, krijgt een API-sleutel. Zo'n sleutel hoort bij één account en één dossier, heeft enkel de rechten die je kiest (lezen, of ook berekeningen starten), vervalt na een vaste termijn en is meteen intrekbaar. Het platform toont de sleutel één keer en bewaart er daarna enkel een hash van. Aanmelden, accounts wissen, uploads en facturen zijn nooit via de API bereikbaar.
Zie ook: Privacy en anonimiteit en Jouw gegevens.
Informatief, geen advies. Bij twijfel primeren de officiële tariefkaart van je leverancier en de publicaties van de VREG en je netbeheerder. Zie ook de disclaimer.