Wijzigingen

De voorbeelden op de voorpagina zijn rustig en echt: geen badge, geen stempels en geen getekende nep-schermen, maar per voorbeeld één kop, één zin en één knop. De installer kloont de tag v3.1.3. De volledige lijst staat in CHANGELOG.md.

Het openbare transparantielog zegt de waarheid over zichzelf: de spiegel van andere relays bevat alleen boomtoppen van gepinde sleutels, de 39 vermeldingen uit april 2026 krijgen bewijs en boomhash uit de huidige boom, en een klant kan een ontvangstbewijs zelf controleren. De installer kloont de tag v3.1.2. De volledige lijst staat in CHANGELOG.md.

Herstelronde na 3.1.0: wat een koper rond betalen leest klopt met wat hij krijgt, de uitrol toetst de hostbeveiliging die /dpa belooft, en de installer kloont de tag v3.1.1. De volledige lijst staat in CHANGELOG.md.

ParaSign als product, beveiligingsbevindingen opgelost en betalen via Mollie. De volledige lijst staat in CHANGELOG.md.

Beveiliging

• API-sleutels komen via een eenmalige ophaallink in plaats van leesbaar in een e-mail
• Het openbare transparantielog publiceert geen apparaat-kenmerken meer
• Ondertekenen vraagt een verse stap-omhoog-bevestiging, en de handtekeningen van de notaris zijn domeingescheiden (v2); oude v1-bewijzen blijven controleerbaar
• script-src 'unsafe-inline' is weg uit het beheerpaneel en de openbare site

Toegevoegd

• ParaSign: ondertekenen in de browser op /sign, de pdf-editor, ondertekenen met meerdere partijen en de ontwikkelaars-API /v1
• Inloggen en ondertekenen met een passkey
• De openbare statuspagina op /status
• Een productcontrole die elk uur een echt bestand door de echte relay stuurt

Gewijzigd

• De relay heet source-available (BUSL-1.1), niet open source
• De navigatie noemt wat we verkopen: zeven onderdelen in plaats van veertig

Verwijderd

• De Android-app, ParamantOS en ParaID

Eén versienummer voor het hele project, en de post-quantum bouwstenen in een eigen bibliotheek.

Gewijzigd

• ML-KEM-768 draait op de Rust-bibliotheek @paramant/core in plaats van op @noble/post-quantum; wire format en gedrag voor clients blijven gelijk
• Eén versie overal: package.json, /health, de site en de installatie zeggen 3.0.0

Opgelost

• Inloggen na het aanmaken van een sleutel werkt weer; users.json wordt atomair geschreven

Beheerpaneel versterkt, e-mails vernieuwd en een sprint voor TOTP-beveiliging.

Toegevoegd

• Zakelijke e-mailsjablonen: centraal in admin/lib/email-templates.js, met 5 transactionele e-mails in twee versies (platte tekst en HTML). Eenduidige Paramant-huisstijl. Preheader-tekst, gemaskeerd IP-adres in de voettekst, List-Unsubscribe-header, reply-to.
• TOTP verplichten per gebruiker: de beheerder kan TOTP verplicht stellen voor de volgende aanmelding. Actieve sessies worden bij inschakelen direct ingetrokken.
• TOTP-reset in twee stappen: aanvraagmail → bevestigingsmail (1 uur geldig) → TOTP wordt pas gewist nadat op de bevestigingslink is geklikt
• Bescherming tegen het uitvragen van e-mailadressen op /api/user/auth/request-totp-reset (geeft altijd 200 terug)
• Uitgebreid e-mailmenu per gebruiker, met voorbeeld vóór verzenden
• Paginering aan de serverkant in de gebruikerslijst (filters page, page_size, status, plan)
• Auditlog op alle beheer-endpoints die iets wijzigen
• Globale audit-ZSET voor O(log n)-queries op recente gebeurtenissen
• Velden email en created op gebruikersrecords (nieuw en met terugwerkende kracht aangevuld)
• API-sleutels gemaskeerd in de gebruikerslijst (eerste 8 en laatste 4 tekens)
• Nette JSON-foutmeldingen: geen HTML-stacktraces
• WCAG AA in het beheerpaneel (ARIA, toetsenbordnavigatie, skip link, focusindicatoren)
• Documentatie voor het beheerpaneel (admin/ADMIN.md)

Gewijzigd

• Afzenderadres van alle transactionele e-mails: noreply@ → hello@paramant.app
• Geldigheid van de bevestiging bij een TOTP-reset: 15 min → 60 min
• Limiet voor delete_account in het beheerpaneel: 3 per dag → 50 per dag

Opgelost

• Beheerpaneel toonde een streepje in plaats van 0 bij lege statistiekkaarten
• Relay-dashboard toonde 0 uur uptime
• Account verwijderen gaf bij de volgende verversing "Error loading users"
• Ontbrekende ADMIN_TOKEN-headers bij interne callRelay()-aanroepen (die allemaal 401 teruggaven)
• Element-ID's van vensters kwamen niet overeen met de verwijzingen in de JS-functies

Beveiliging

• Een TOTP-reset vereist toegang tot de inbox: een aanvaller die alleen het e-mailadres kent, kan geen reset afdwingen
• Limieten op de reset-flow: 5 per e-mailadres per 24 uur en 10 per IP-adres per uur
• Foutmeldingen zijn alleen JSON: er lekken geen interne paden of servergegevens
• 24 van 24 integratietests geslaagd

Sprint om klaar te zijn voor zakelijk gebruik. Beheerpaneel opnieuw ontworpen en een beveiligingsaudit.

Toegevoegd

• Beheerdashboard met vijf tabbladen (Overzicht, Gebruikers, Audit, Facturatie, Relay): v4 Denim Edit-stijl
• Aanmelden op /signup met TOTP-registratie (zonder wachtwoord)
• Basis voor facturatie met een Mollie-placeholder: afrekenen, opzeggen, status, geschiedenis
• Browserextensie voor Chromium (twee modi: API-sleutel en TOTP)
• Wazuh SIEM-agent gekoppeld via Tailscale
• Beveiligingsaudit uitgevoerd: 6 lagen, laag risico (0 kritiek, 0 hoog)

Gewijzigd

• GitHub Actions vastgepind op commit-SHA's, voor de veiligheid van de toeleveringsketen
• TOTP v2 uitgerold naar bètagebruikers. Banners over Q2 2026 verwijderd.
• De installatiestap werkt nu met een knop, zodat e-mailscanners het token niet verbruiken
• POST /api/user/auth/setup/:token idempotent voor voorlopige registraties
• @noble/post-quantum bijgewerkt naar 0.6.1

Opgelost

• Installatietoken werd verbruikt door e-mailscanners (Gmail, Barracuda, Proofpoint)
• INTERNAL_AUTH_TOKEN ontbrak in de admin-container: relay-aanroepen gaven 401 terug
• Verbinding van de Wazuh-agent na een herstart met UFW default-deny

Beveiliging

• Installatietokens worden niet meer verbruikt door scanners die e-mails vooraf openen
• Volledige geautomatiseerde audit over 6 lagen afgerond. Alle bevindingen in dezelfde sessie opgelost.
• Belastingtest tot 500 req/s: p95 135 ms, geen fouten