Standaard veilig gebouwd.
Configureerbaar op uw risiconiveau.

Documentindexering en zoeken blijven op uw ReefOffice-VM: bge-m3 maakt embeddings lokaal aan en Qdrant slaat tekst en vectoren lokaal op. Op een Private AI-pilot draait generatie op door ReefOffice beheerde GPU-infrastructuur in Duitsland via een versleutelde tunnel. Uw prompt en de relevante documentfragmenten bereiken die GPU, terwijl uw bronbestanden, index, gesprekken en applicatiegegevens op uw VM blijven. Providerbewaartermijn en contractuele garanties worden gevalideerd voordat betaalde beschikbaarheid wordt aangeboden. Als u uw eigen externe AI-sleutel aansluit, ontvangt die provider de prompt en geselecteerde fragmenten onder zijn eigen voorwaarden.

De vooraf gebouwde automatiseringen (documentindexering, factuuropvolging, contractarchivering, deal-wonnen-instelling, …) draaien in een alleen-operators automatiseringsruntime die ReefOffice beheert — niet in Activepieces, de no-code builder die uw team gebruikt. De inloggegevens die ze nodig hebben (uw Nextcloud / Dolibarr / Paperless admin-accounts, de mailrelay) worden versleuteld opgeslagen en alleen gelezen door de draaiende taak via taak-specifieke runtime-inloggegevens; ze worden nooit geschreven in een workflowdefinitie die een gebruiker kan openen. Wanneer de privé-AI-agent een van de goedgekeurde automatiseringen activeert, roept het een lokale toegestane shim aan die de inloggegevens server-side injecteert, zodat de agent nooit algemene automatiseringsengine-inloggegevens ontvangt. Uw Activepieces-sandbox bevat nul operator-inloggegevens en runtime-toegang wordt op elke implementatie alleen aan operators opgelegd, zodat een verouderd account niet met toegang kan rondzwerven. Dit sluit het risico af waarbij een ingebouwde automatisering een manier wordt om een admin-wachtwoord uit te lezen.

Correct, en dat is door ontwerp — LUKS is het juiste gereedschap voor bedreigingen van schijf-in-rust (fysieke schijven, demontage en snapshots die geen opstartontgrendelingsmateriaal bevatten). Voor een draaiende server passen we een aparte laag controles toe die in elke NixOS-build is ingebakken: ptrace is beperkt (scope=3) om procesinspectie te voorkomen, kexec is uitgeschakeld zodat de kernel niet kan worden vervangen tijdens uitvoering, ongeprivilegieerde eBPF is geblokkeerd, kernel-pointers worden verborgen (kptr_restrict=2), ongeprivilegieerde userfaultfd is uitgeschakeld, ongeprivilegieerde io_uring-aanmaak is beperkt en coredumps worden onderdrukt. Volledige io_uring-uitschakeling blijft beschikbaar voor speciale versterkte implementaties, maar de standaard behoudt geprivilegieerde infrastructuurcompatibiliteit. NixOS onveranderlijkheid betekent dat geen pakketbeheerder stille onverwachte binaire bestanden kan installeren. Dagelijks CVE-scannen (vulnix) detecteert kwetsbare pakketten en rapporteert resultaten in het dashboard.

Ja — elke server draait een dagelijkse CVE-scan met vulnix, een NixOS-natief gereedschap. Omdat NixOS exacte pakketversies vastlegt als cryptografische hashes (reproduceerbare builds), kan vulnix elk geïnstalleerd pakket in seconden kruisen met de National Vulnerability Database. Resultaten verschijnen in uw dashboard Beveiligingstabblad met de pakketnaam, versie en CVE-ID's. NixOS levert doorgaans een gepatcht pakket binnen 24–48 uur na een CVE-openbaarmaking — de volgende dagelijke scan bevestigt de fix. Dit is iets dat de meeste zelf-gehoste stacks niet kunnen doen zonder aanzienlijke gereedschappen; hier draait het out-of-the-box.

Air-gapped modus is het volledige antwoord — we hebben geen SSH-sleutel, dus een volledige compromittering van onze infrastructuur heeft geen SSH-pad naar uw VM. In Beheerde modus registreert de hash-keten audittrail beheerpaneeloperaties. Daarnaast kunt u het optionele wekelijkse overzichtsbericht inschakelen via uw accountinstellingen: het vat service-omzettingen, NixOS-update-resultaten en CVE-aantallen samen over uw servers — geeft u een regelmatig, verwacht, gemakkelijk te lezen bevestiging dat er niets onverwachts is gebeurd. Elk anomalie in dat overzicht is een vroeg signaal om het volledige auditlogboek te bekijken.

LUKS beschermt het versleutelde root-bestandssysteem als iemand toegang krijgt tot een verwijderde root-schijf of een root-schijfsnapshot zonder het opstartontgrendelingsmateriaal. ReefOffice gebruikt onbeheerde LUKS zodat servers automatisch kunnen herstarten, wat betekent dat de opstartpartitie en initrd een apart onderdeel van het bedreigingsmodel zijn. Een volledig provider-niveau image van zowel opstart- als rootopslag is niet hetzelfde als een verwijderde versleutelde root-schijf. De overige draaiende VM-paden, zoals hypervisor-niveau geheugen of runtime-toegang, worden beheerd door providercontroles, contracten en audits in plaats van LUKS.

Een aanvaller moet de draaiende VM compromitteren, of voldoende opstartmateriaal en schijftoegang verkrijgen om het versleutelde root-bestandssysteem te ontgrendelen, dan /etc/reefoffice/secrets.env lezen. De back-upsleutel bevindt zich nooit in de ReefOffice-beheerpaneel-database. Als uw nalevingsvereiste is dat de back-upsleutel onder geen enkele VM-niveaucompromittering bereikbaar mag zijn, verwijdert Zero-knowledge de ReefOffice back-upsleutelbewaring na overdracht.

Bij de eerste SSH-verbinding na voorziening legt het beheerpaneel de openbare hostsleutel van de VM vast (Trust On First Use — TOFU). Elke volgende verbinding controleert of de sleutel overeenkomt met dat record. Een mismatch — wat aangeeft dat de VM is vervangen of een MITM is ingevoegd — veroorzaakt dat de verbinding onmiddellijk mislukt en wordt geschreven naar het auditlogboek. Dit betekent dat een malafide VM geen beheerverkeer kan onderscheppen, zelfs niet als DNS of IP-routing is gecompromitteerd.

Uw server draait op Contabo GmbH, een Duits hostingbedrijf opgericht in 2003 met eigen datacenters in München en Neurenberg — geen wederverkoper. Contabo bedient 225.000+ klanten in 190 landen op meer dan 450.000 servers, en onafhankelijke monitoring door HOSTtest registreerde 100% uptime voor Q3 2025 en Q4 2024. Contabo is een geregistreerd Duits bedrijf (Amtsgericht München, HRB 180722).