Sikkerhed
Sikkerhed i Fendr: SSO, SCIM, RLS, audit, kryptering, DPA og overvågning.
Senest opdateret
Fendr leverer Fendr og Fendr Incidents som databehandler. Detaljeret DPA ligger på databehandleraftalen. Servicemål: SLA. Drift: status.
Kontrolområder
- Multi-tenant Postgres med RLS pr. organisation og RBAC i CI (Fendr vagtplan).
- Fendr Incidents: isoleret schema, RBAC pr. klubrolle, privat media-bucket, signed URLs og append-only auditlog. Klubber opretter sig selv; brugere inviteres af klubbens administrator. Sagsfelter er ikke feltkrypteret i applikationen (TLS + leverandørens storage). Sentry fejlmonitorering uden standard-PII og uden session replay.
- SSO (SAML/OIDC) med one-time native ticket-handoff, org-MFA, SCIM 2.0 Users + Groups, IdP-rolle-mapping, Fendr (vagtplan), ikke Incidents.
- Auditlog med retention, CSV/JSON-eksport og valgfri SIEM-webhook (HMAC).
- Kontor IP-allowlist med trusted-proxy IP-model. Secrets at rest med AES-GCM.
- HTTPS, certificate pinning på iOS/Android, EncryptedSharedPreferences / Keychain (Fendr-app).
- Sentry på web, Crashlytics på Android, MetricKit + Sentry-envelope på iOS (Fendr vagtplan).
- CI supply-chain: secret scan (gitleaks), dependency audit, OSV, CodeQL, TLS pin calendar (web) + native pin-expiry guards.
Pentest og SOC 2
Der er endnu ikke gennemført en ekstern pentest. Den bookes, før vi onboarder kunder med over 200 medarbejdere, og gentages derefter årligt. SOC 2 Type I følger efter pentesten. Indtil da bygger sikkerheden på kontrollerne ovenfor. Hændelser håndteres efter en fast incident-process, og TLS-pins roteres efter kalender.
Kontakt: security@fendr.dk.