EverStamp Security

In één oogopslagAt a glance

Onderwerp	Stand	Toelichting
Topic	Status	Notes
Bewijs zonder vertrouwen in EverStamp	ja	Elke foto en elk dossier is te controleren met open standaarden (C2PA, RFC 3161, de Europese vertrouwenslijst), ook als EverStamp niet meer bestaat.
Verification without trusting EverStamp	yes	Every photo and every file can be checked with open standards (C2PA, RFC 3161, the European trust list), including if EverStamp no longer exists.
Foto's op onze servers	nee, tenzij u deelt, een verzoek beantwoordt of uw organisatie bewaren aanzet	Foto's blijven op het toestel. Een deellink zet een versleuteld archief tijdelijk bij ons, met een sleutel die alleen in de link zit. Een levering (het antwoord op een verzoek) en bewaren bij EverStamp (een keuze van de organisatie, voor al haar dossiers) zetten het archief bij ons met de sleutel versleuteld in de kluis van het register: EverStamp kan het dan openen, doet dat alleen als een ingelogd lid erom vraagt, en elke opening staat in het logboek.
Photos on our servers	no, unless you share a file, answer a request, or your organisation turns on storage at EverStamp	Photos stay on the device. A share link places an encrypted archive with us temporarily, under a key that sits only in the link. A delivery (the answer to a request) and storage at EverStamp (a choice of the organisation, for all its files) place the archive with us with the key encrypted in the vault of the registry: EverStamp can then open it, does so only when a signed-in member asks for it, and every opening is logged.
Versleuteling onderweg en in rust	ja	TLS met HSTS; back-ups versleuteld met een sleutel die niet op de server staat; geheimen versleuteld in de database.
Encryption in transit and at rest	yes	TLS with HSTS; backups encrypted with a key that is not on the server; secrets encrypted in the database.
Signeersleutel in een HSM	ja	AWS KMS (Frankfurt); de sleutel verlaat de HSM nooit.
Signing key in an HSM	yes	AWS KMS (Frankfurt); the key never leaves the HSM.
Toestellen aantoonbaar echt	ja	Apple App Attest (iPhone) of Android Key Attestation bij elke registratie: alleen een ongewijzigde EverStamp-app op een echt toestel komt binnen.
Devices demonstrably genuine	yes	Apple App Attest (iPhone) or Android Key Attestation on every registration: only an unmodified EverStamp app on a real device gets in.
Logboek van handelingen	ja	Elke handeling op het dashboard en via de API, met wie en wanneer; plus een openbaar, gestempeld register.
Audit log of actions	yes	Every action in the dashboard and through the API, with who and when; plus a public, timestamped registry.
Monitoring en statuspagina	ja	Intern elke vijf minuten, extern onafhankelijk; everstamp.app/status.
Monitoring and status page	yes	Internally every five minutes, externally and independently; everstamp.app/status.
Back-ups en herstel	ja	Elk uur, op drie plekken bij twee leveranciers; herstelpunt hooguit een uur; een runbook met gemeten stappen.
Backups and recovery	yes	Hourly, in three places across two providers; recovery point at most one hour; a runbook with measured steps.
Gegevens in de EU	ja	Servers in Duitsland; opslag en database in EU-regio's. De lijst van subverwerkers staat onderaan.
Data in the EU	yes	Servers in Germany; storage and database in EU regions. The list of subprocessors is at the bottom.
Verwijderen op verzoek	ja	Een organisatie kan zichzelf opheffen: alles wordt gewist of ontdaan van namen en contactgegevens, tot in het register.
Deletion on request	yes	An organisation can close itself down: everything is erased or stripped of names and contact details, right into the registry.
Export van alle gegevens	ja	Een zip met alles van de organisatie, als json en csv, door een beheerder zelf te maken.
Export of all data	yes	A zip with everything belonging to the organisation, as JSON and CSV, generated by an administrator.
MFA voor uw gebruikers	deels	Inloggen gaat zonder wachtwoord via een link naar het e-mailadres; een tweede factor voor uw gebruikers volgt.
MFA for your users	partly	Sign-in is passwordless, through a link sent to the email address; a second factor for your users is to follow.
SSO en SCIM	nog niet	Op de roadmap voor Enterprise.
SSO and SCIM	not yet	On the roadmap for Enterprise.
ISO 27001, SOC 2	nog niet	Geen certificering; deze pagina en de open verificatie zijn wat we nu kunnen laten zien.
ISO 27001, SOC 2	not yet	No certification; this page and the open verification are what we can show you today.
Externe pentest	gepland	Voor de lancering; het rapport delen we onder NDA.
External penetration test	planned	Before launch; we will share the report under NDA.

Het ontwerp: bewijs dat niet van ons afhangtThe design: evidence that does not depend on us

EverStamp is gebouwd op één uitgangspunt: het bewijs mag niet rusten op vertrouwen in EverStamp. Daarom ontstaat het bewijs op het toestel, met open standaarden, en kan iedereen het narekenen.

EverStamp is built on a single principle: the evidence must not rest on trusting EverStamp. So it is created on the device, with open standards, and anyone can check the sums.

Op het toestel. Elke foto krijgt direct na de opname een hash, een C2PA-manifest en een handtekening met een sleutel die alleen op dat toestel bestaat. Een dossier bundelt de opnames in volgorde, met een wortel over allemaal.
On the device. Every photo is hashed immediately after capture, given a C2PA manifest, and signed with a key that exists only on that device. A file bundles the captures in order, with one root across all of them.
Gekwalificeerde tijd. Het zegel over het dossier krijgt een tijdstempel van een dienst op de Europese vertrouwenslijst (eIDAS). De verificatiepagina controleert die lijst zelf, en de status van de dienst op het moment van stempelen.
Qualified time. The seal over the file receives a timestamp from a service on the European trust list (eIDAS). The verification page checks that list itself, and the status of the service at the moment of stamping.
Een openbaar register. Elk dossier wordt genoteerd in een openbaar logboek dat per uur gekwalificeerd wordt gestempeld, met elke periode gekoppeld aan de vorige. Een spiegel rekent de keten dagelijks na; iedereen mag er een draaien.
A public registry. Every file is noted in a public log that is qualified-timestamped every hour, with each period linked to the one before it. A mirror recomputes the chain daily; anyone is free to run one.
Verificatie zonder ons. everstamp.app/verify rekent alles in de browser na; niets wordt verstuurd. Dezelfde controle kan met OpenSSL, c2patool en pyHanko, en dat hebben we gedocumenteerd.
Verification without us. everstamp.app/verify computes everything in the browser; nothing is transmitted. The same checks can be done with OpenSSL, c2patool and pyHanko, and we have documented how.

Wat wij niet zien. Foto's, notities en posities blijven op het toestel. Het register bewaart per dossier een hash, een volgnummer en de wortel; geen beelden, geen namen. Alleen een deellink, een levering of bewaren bij EverStamp zet een archief bij ons, versleuteld met AES-256-GCM. Bij een deellink zit de sleutel in de link en wordt hij nooit naar ons verstuurd; bij een levering en bij bewaren houdt het register hem versleuteld in zijn kluis voor de organisatie, en staat elke opening in haar logboek.

What we do not see. Photos, notes and positions stay on the device. Per file the registry holds a hash, a sequence number and the root; no images, no names. Only a share link, a delivery or storage at EverStamp places an archive with us, encrypted with AES-256-GCM. With a share link the key sits in the link and is never sent to us; with a delivery and with storage the registry keeps it encrypted in its vault for the organisation, and every opening is in its log.

Gegevens en waar ze staanData, and where it is held

Wat	Waar	Bewaartermijn
What	Where	Retention
Het register (hashes, volgnummers, wortels, toestelkoppelingen)	Eigen server bij Hetzner, Nürnberg (DE)	Onbeperkt: het is de vertrouwensbasis. Persoonsnamen erin worden gewist bij opheffen.
The registry (hashes, sequence numbers, roots, device bindings)	Our own server at Hetzner, Nuremberg (DE)	Indefinite: it is the basis of trust. Personal names in it are erased on closure.
Organisaties, leden, opdrachten, verzoeken, logboek	Register (Hetzner) en dashboarddatabase (Supabase, EU)	Zolang de organisatie bestaat; bij opheffen gewist, contactgegevens van gasten een dag na afloop
Organisations, members, jobs, requests, audit log	Registry (Hetzner) and dashboard database (Supabase, EU)	For as long as the organisation exists; erased on closure, guests’ contact details one day after the job ends
Gedeelde archieven, leveringen en bewaarde dossiers	Cloudflare R2, EU-jurisdictie, versleuteld; de sleutel van een levering of bewaring versleuteld in het register (Hetzner)	Zolang de link geldig is (standaard 7 dagen); leveringen en bewaarde dossiers naar keuze van de organisatie, standaard 365 dagen, hooguit tien jaar. Bij verlopen of intrekken gaan bestand en sleutel weg; een versleutelde regel zonder bestand blijft hooguit 14 dagen in een back-up
Shared archives, deliveries and kept files	Cloudflare R2, EU jurisdiction, encrypted; the key of a delivery or a kept file encrypted in the registry (Hetzner)	For as long as the link is valid (7 days by default); deliveries and kept files as the organisation chooses, 365 days by default, ten years at most. On expiry or withdrawal the file and the key are removed; an encrypted row without a file stays in a backup for 14 days at most
Back-ups van het register	Hetzner (server en Storage Box) en Cloudflare R2, versleuteld met age	Uurkopieën 2 dagen, dagkopieën 14 dagen
Backups of the registry	Hetzner (server and Storage Box) and Cloudflare R2, encrypted with age	Hourly copies 2 days, daily copies 14 days
E-mail (uitnodigingen, verzoeken, offerteaanvragen)	Resend	Bij uitnodigingen en verzoeken alleen adres en onderwerp, geen dossierinhoud; bij een offerteaanvraag de naam, het e-mailadres, de organisatie en het bericht die de aanvrager invult
Email (invitations, requests, quote requests)	Resend	For invitations and requests the address and subject only, no file content; for a quote request the name, email address, organisation and message the requester enters
Toegangslog van de servers	Hetzner	30 dagen
Server access logs	Hetzner	30 days

Versleuteling en sleutelsEncryption and keys

Onderweg: TLS met HSTS op alle adressen; de app praat alleen met het register en de opslag, nooit met derden.
In transit: TLS with HSTS on every address; the app talks only to the registry and the storage, never to third parties.
De signeersleutel van EverStamp (C2PA) staat in AWS KMS in Frankfurt, in een HSM. De dienst mag alleen signeren; exporteren kan niet, ook niet door ons.
The EverStamp signing key (C2PA) is held in AWS KMS in Frankfurt, inside an HSM. The service may only sign; it cannot be exported, not even by us.
Toestelsleutels ontstaan in de beveiligde hardware van het toestel en verlaten die nooit: de Secure Enclave op een iPhone, StrongBox of de TEE op Android. Apple App Attest of Android Key Attestation bewijst bij elke registratie dat het om een echt toestel met de ongewijzigde app gaat.
Device keys are created in the secure hardware of the device and never leave it: the Secure Enclave on an iPhone, StrongBox or the TEE on Android. Apple App Attest or Android Key Attestation establishes on every registration that this is a genuine device running the unmodified app.
Deellinks: AES-256-GCM op het toestel, sleutel in het fragment van de link (achter #, dat een browser niet verstuurt), optioneel ingepakt met een wachtwoord (PBKDF2, 600.000 ronden, minstens acht tekens).
Share links: AES-256-GCM on the device, with the key in the fragment of the link (after the #, which a browser does not transmit), optionally wrapped with a password (PBKDF2, 600,000 rounds, eight characters at least).
Leveringen en bewaarde dossiers: dezelfde versleuteling op het toestel; de sleutel gaat naar het register en ligt daar versleuteld in de kluis (een sleutel die alleen in de omgeving van de dienst staat). Het dashboard krijgt hem alleen voor een ingelogd lid van de organisatie, en die opening staat in het logboek. Een stand waarin de organisatie zelf de sleutel houdt en EverStamp alleen cijfertekst bewaart is voorbereid in het contract, nog niet gebouwd.
Deliveries and kept files: the same encryption on the device; the key goes to the registry and lies there encrypted in the vault (a key held only in the service environment). The dashboard receives it only for a signed-in member of the organisation, and that opening is logged. A mode in which the organisation holds the key itself and EverStamp keeps only ciphertext is prepared in the contract, not built yet.
Geheimen in de database (webhookgeheimen, leveringssleutels) zijn versleuteld met een sleutel die alleen in de omgeving van de dienst staat. API-sleutels bewaren we als sha-256.
Secrets in the database (webhook secrets, delivery keys) are encrypted with a key held only in the service environment. API keys are stored as SHA-256.
Back-ups worden versleuteld met age; de geheime sleutel staat niet op de server.
Backups are encrypted with age; the secret key is not on the server.

ToegangAccess

Rollen: eigenaar, beheerder, veldwerker, lezer. Rechten liggen vast in de database (row level security), niet alleen in de schermen.
Roles: owner, administrator, field worker, reader. Permissions are enforced in the database (row level security), not only in the screens.
Inloggen op het dashboard gaat zonder wachtwoord, met een eenmalige link naar het e-mailadres; een uitnodiging wordt pas gekoppeld na een bevestigde inlog op precies dat adres.
Signing in to the dashboard is passwordless, with a one-time link to the email address; an invitation is only bound after a confirmed sign-in at exactly that address.
Beheerdersaccounts van EverStamp (GitHub, Cloudflare, Hetzner, AWS, Supabase, Vercel) hebben allemaal een tweede factor.
EverStamp administrator accounts (GitHub, Cloudflare, Hetzner, AWS, Supabase, Vercel) all have a second factor.
API-sleutels zijn per organisatie, in te trekken, en beperkt tot 300 verzoeken per minuut; het register remt daarnaast per adres.
API keys are per organisation, revocable, and limited to 300 requests per minute; the registry additionally rate-limits per address.
De dienst zelf draait zonder root, in een systemd-sandbox, met één open poort achter een reverse proxy, en zonder externe softwarebibliotheken in het register.
The service itself runs without root, in a systemd sandbox, with one open port behind a reverse proxy, and with no external software libraries in the registry.

Logboek en controleAudit log and oversight

Elke handeling op het dashboard en via de API staat in het logboek van de organisatie: wie, wat, wanneer; bij de API de naam van de sleutel. Het register noteert per aanroep wie handelde. Toegangslogs bewaren we 30 dagen. Het openbare register is voor iedereen leesbaar en na te rekenen: register.everstamp.app/v1/log.

Every action in the dashboard and through the API is recorded in the organisation’s audit log: who, what, when; for the API, the name of the key. The registry records who acted on each call. Access logs are kept for 30 days. The public registry is readable and recomputable by anyone: register.everstamp.app/v1/log.

Beschikbaarheid en herstelAvailability and recovery

Monitoring: een wachter op de server elke vijf minuten (dienst, proxy, certificaten, back-ups, spiegel, vertrouwenslijst) en een onafhankelijke externe monitor; storingen en herstel gaan direct naar de beheerder.
Monitoring: a watcher on the server every five minutes (service, proxy, certificates, backups, mirror, trust list) and an independent external monitor; failures and recoveries go straight to the administrator.
Status: everstamp.app/status toont of het register bijloopt en of het dashboard bereikbaar is.
Status: everstamp.app/status shows whether the registry is keeping up and whether the dashboard is reachable.
Als het register stilstaat werkt de app door: foto's worden gesigneerd en dossiers verzegeld op het toestel; het registerbewijs volgt zodra het register terug is.
If the registry is down the app carries on: photos are signed and files are sealed on the device; the registry receipt follows once the registry is back.
Back-ups elk uur, op drie plekken bij twee leveranciers. Herstelpunt hooguit een uur; herstel van het register binnen twee uur volgens het runbook.
Backups hourly, in three places across two providers. Recovery point at most one hour; recovery of the registry within two hours, following the runbook.
Vertrouwenslijst: wekelijks opnieuw opgehaald en vergeleken; een verschil wordt door een mens beoordeeld voordat het in gebruik gaat.
Trust list: fetched and compared again weekly; a difference is assessed by a person before it is put into use.

Ontwikkeling en uitrolDevelopment and release

Het contract tussen app, register en dashboard is één bron met een vingerafdruk; elke wijziging gaat door de testsuites van alle onderdelen. De server volgt een aparte tak die alleen na groene tests vooruitgaat. De verificatiepagina is een enkel bestand zonder externe verbindingen (Content Security Policy), zodat wat u controleert niet stiekem kan veranderen.

The contract between app, registry and dashboard is a single source with a fingerprint; every change goes through the test suites of all the components. The server follows a separate branch that only advances after green tests. The verification page is a single file with no external connections (Content Security Policy), so that what you are checking cannot quietly change.

Kwetsbaarheden en non-conformiteit meldenReporting vulnerabilities and non-conformance

Vond u een kwetsbaarheid, een afwijking in het bewijs, of een manifest van EverStamp dat niet aan de C2PA-specificatie voldoet? Mail security@everstamp.app. Dit adres staat ook in /.well-known/security.txt (RFC 9116) en is het meldadres uit ons C2PA-conformancerecord. U krijgt binnen twee werkdagen antwoord. Wie te goeder trouw onderzoekt en meldt, hoeft van ons geen juridische stappen te vrezen; noem ons alstublieft niet publiek voordat het is opgelost.

Found a vulnerability, a discrepancy in the evidence, or an EverStamp manifest that does not conform to the C2PA specification? Email security@everstamp.app. The address is also in /.well-known/security.txt (RFC 9116) and is the reporting address in our C2PA conformance record. You will have a reply within two working days. We will not take legal action against anyone who researches and reports in good faith; please do not name us publicly before it is resolved.

SubverwerkersSubprocessors

Wie	Waarvoor	Waar
Who	What for	Where
Hetzner Online GmbH	de server van het register en een tweede back-updoel	Duitsland
Hetzner Online GmbH	the registry server and a second backup target	Germany
Cloudflare	DNS, versleutelde archieven van deellinks en leveringen, back-upkopie	EU-jurisdictie (R2)
Cloudflare	DNS, encrypted archives for share links and deliveries, backup copy	EU jurisdiction (R2)
Supabase	de dashboarddatabase en het inloggen	EU
Supabase	the dashboard database and sign-in	EU
Vercel	het dashboard en de website	Frankfurt
Vercel	the dashboard and the website	Frankfurt
Amazon Web Services (KMS)	de signeersleutel van EverStamp in een HSM	Frankfurt
Amazon Web Services (KMS)	the EverStamp signing key in an HSM	Frankfurt
Resend	e-mail voor uitnodigingen, verzoeken en offerteaanvragen	EU-regio
Resend	email for invitations, requests and quote requests	EU region
Apple	App Attest, de app op iPhone	wereldwijd
Apple	App Attest, and the app on iPhone	worldwide
Google	Key Attestation, de app op Android (Play)	wereldwijd
Google	Key Attestation, and the app on Android (Play)	worldwide
GitHub	de broncode	VS
GitHub	the source code	US

Vragen voor uw beoordeling: privacy@everstamp.app. EverStamp is een product van Digital Sandbox B.V.

Questions for your assessment: privacy@everstamp.app. EverStamp is a product of Digital Sandbox B.V.