Accountbeveiliging

Beveilig je Wolkra-account door tweestapsverificatie aan te zetten, actieve sessies te controleren, elk teamlid de laagste rol te geven die volstaat, beperkte API-tokens te gebruiken en af en toe het activiteitenlog te bekijken. Je servers zijn maar zo veilig als het account waarmee je ze beheert.

Tweestapsverificatie (2FA)

Wolkra ondersteunt TOTP, de zescijferige codes uit een authenticator-app.

1. Open je accountinstellingen in de console.
2. Kies Tweestapsverificatie en Inschakelen.
3. Scan de QR-code met je authenticator-app.
4. Voer de huidige code in ter bevestiging.
5. Bewaar eventuele herstelcodes op een veilige plek, zoals je wachtwoordmanager.

Vanaf dat moment vraagt elke inlogpoging om een code. Zorg dat minstens twee mensen in een organisatie owner- of admintoegang met 2FA hebben, zodat het verlies van één telefoon niet iedereen buitensluit.

Inloggen met Google

Je kunt inloggen met je Google-account in plaats van met een wachtwoord. Doe je dat, beveilig dan ook het Google-account zelf met verificatie in twee stappen, want dat beschermt nu ook je servers.

Wachtwoorden

Gebruik je e-mail en wachtwoord:

• gebruik een lang, uniek wachtwoord uit een wachtwoordmanager;
• gebruik het nooit opnieuw op een andere site;
• wijzig het meteen als je vermoedt dat het is uitgelekt, en controleer daarna je sessies.

Actieve sessies

De console toont de apparaten en browsers waarop je bent ingelogd. Bekijk de lijst en log elke sessie uit die je niet herkent, of die van apparaten die je niet meer gebruikt. Log na een wachtwoordwijziging alle andere sessies uit.

Organisaties, projecten en rollen

Resources horen bij projecten binnen een organisatie. Rollen in de organisatie:

Daarbovenop bepalen rollen per project wat een lid in elk project mag doen. Een veelgebruikte opzet:

• een production-project waarin maar een paar mensen iets kunnen wijzigen;
• een staging- of dev-project waarin developers volledige toegang hebben;
• iemand voor de financiën met de billing-rol en zonder toegang tot servers.

Nodig leden per e-mail uit via de organisatie-instellingen. Verwijder mensen meteen als ze vertrekken, en vervang gedeelde geheimen die ze kenden.

Activiteitenlog

Het activiteitenlog legt vast wat er in de organisatie is gebeurd: wie resources heeft aangemaakt, gewijzigd of verwijderd, en wanneer. Gebruik het om:

• te zien wie een firewall heeft gewijzigd of een server heeft verwijderd;
• te controleren op wijzigingen die niemand zich herinnert;
• wijzigingen na een incident te beoordelen.

API-tokens

Tokens zijn vaak een zwakke plek, omdat ze in scripts en CI-systemen terechtkomen. Houd ze beperkt:

• één token per toepassing, genoemd naar de plek waar hij draait;
• leestoegang, tenzij schrijven nodig is;
• een IP-allowlist voor tokens die vanaf vaste adressen worden gebruikt;
• een vervaldatum voor tijdelijk werk;
• verwijder tokens die je niet herkent.

Zie API-tokens.

Bescherm resources tegen vergissingen

• Zet verwijderbeveiliging aan voor belangrijke servers.
• Schakel back-ups in en maak snapshots vóór grote wijzigingen.
• Gebruik labels zoals env=prod, zodat duidelijk is waar een server voor dient.

Beveiliging op de servers

Accountbeveiliging en serverbeveiliging gaan samen. Op elke server:

• log alleen in met SSH-sleutels (handleiding SSH-sleutels);
• houd het systeem bijgewerkt en draai een firewall (een Ubuntu-server beveiligen);
• gebruik een cloudfirewall om SSH te beperken tot bekende adressen.

Als je denkt dat je account is gecompromitteerd

1. Wijzig je wachtwoord, of beveilig je Google-account.
2. Log alle sessies uit.
3. Zet 2FA aan als dat nog uit stond.
4. Verwijder API-tokens en maak nieuwe aan.
5. Controleer het activiteitenlog en je resources op iets onverwachts.
6. Open een ticket in de console.

Wil je misbruik vanaf een Wolkra-server melden, of heb je een vraag over je persoonsgegevens, zie dan contact. Meer op de productpagina: teams en beveiliging.