Vertrouwen en controle

Voor wie deze pagina is

Alles hieronder is geschreven voor de twee lezers die hierboven staan: wie de server beheert die de bestanden doorgeeft, en wie die moet goedkeuren. Het beantwoordt wat Paramant wel en niet kan op een server die niet van Paramant is.

Gratis voor iedereen, betaald voor organisaties. Ondertekenen Community en Versturen Community kosten €0, voor altijd, zonder betaalkaart. Organisaties betalen voor de hogere limieten: Firm, Ondertekenen Business en Enterprise, Versturen Enterprise. Firm is één betaling voor beide producten. Bij Ondertekenen Enterprise en Versturen Enterprise betaalt u voor een eigen relay, een SLA en een licentie om zelf te hosten. Elk abonnement krijgt dezelfde versleuteling, dezelfde post-quantum handtekeningen en dezelfde openbare bewijslog. Bekijk de prijzen →

Zo leest u deze pagina

Paramant gaat van één zelf gehost programma naar een open-core product. De relay blijft open en draait volledig op uw server. Paramant beheert een centrale laag voor licenties en beheer. Die overgang is deels live en deels nog op papier.

Daarom is elke bewering hieronder gemarkeerd. Live betekent dat het vandaag werkt op de openbare relay. Gepland betekent dat het is vastgelegd in een openbaar ontwerpdocument (een ADR), maar nog niet is gebouwd. Zo leest u nooit dat iets bestaat voordat het er is.

Zo werkt de licentiecontrole

Nu Live werkt de relay met een offline licentie. Uw PLK_KEY is een licentietoken dat Paramant heeft ondertekend (Ed25519). De relay controleert het lokaal met een ingebouwde publieke sleutel. Het token bevat een maximum aantal gebruikers, een vervaldatum en aan wie het is uitgegeven. De relay belt niet naar huis om het te controleren. Zonder sleutel, of met een verlopen sleutel, draait de relay gewoon als Community Edition (5 gebruikers). Er gaat niets van uw server af om een licentie te controleren.

Gepland Gepland om abonnementen te kunnen verkopen met meer dan een aantal gebruikers, voegt het ontwerp een online licentiecontrole toe. In dat model roept uw relay bij het opstarten en elke 6 uur een licentie-endpoint van Paramant aan. Het verzoek bevat uw licentiesleutel, een relay-identiteit (de vingerafdruk van de ML-DSA-65-publieke sleutel die uw relay bij de eerste start maakt), de relayversie en een telemetrieblok dat standaard uit staat.

Het antwoord is een ondertekende capability-set: welke functies uw abonnement vrijgeeft. Die is een paar uur geldig. Uw relay controleert de ML-DSA-65-handtekening met een ingebouwde licentiesleutel van Paramant. Een antwoord zonder of met een ongeldige handtekening wordt geweigerd. Is het licentie-endpoint niet bereikbaar, dan gebruikt de relay tot 7 dagen de laatst bewaarde capability-set en valt daarna terug naar de Community-modus. U wordt niet onverwacht buitengesloten: een storing bij ons kan uw relay niet direct uitschakelen.

Volledige specificatie van het protocol: ADR R013 (concept) in de openbare ADR-map.

Wat Paramant van uw relay ziet

Met de huidige offline licentie is het antwoord eenvoudig: niets tijdens het draaien. De relay doet geen licentieaanroep. Het overzicht hieronder beschrijft het Gepland online model, zodat u het kunt beoordelen voordat het er is.

Altijd (bij elke check-in)

Uw licentiesleutel: zo herkennen wij uw abonnement
De identiteitsvingerafdruk van uw relay (hash van de ML-DSA-65-publieke sleutel)
Het versienummer van uw relay
Het tijdstip van de check-in

Alleen als u ervoor kiest (telemetrie, standaard uit)

Totaal aantal gebruikers: een getal, nooit identiteiten
Totaal aantal verzendingen per 24 uur: een getal, nooit hashes
Foutpercentages (aandeel 5xx, aandeel mislukte aanmeldingen)
Uptime

Nooit, ook niet met telemetrie aan

Inhoud van bestanden: wij hebben uw sleutels nergens
Identiteiten van uw gebruikers (e-mailadressen, namen)
Hashes van bestanden: die zouden naar bepaalde verzendingen leiden
Afzender- of bestemmingsadressen van uw verzendingen
Inhoud van de CT-log, behalve totalen

Gepland Voordat telemetrie aan kan, toont het beheerpaneel precies wat uw relay zou versturen, zonder verborgen velden. Zo kiest u bewust en zet u niet blind een schakelaar om.

Zo controleert u uw installatie

U hoeft deze uitspraken niet te geloven. Met wat openbaar is kunt u ze controleren.

1. Broncode Live

Alles wat op uw server draait staat in de openbare GitHub-repository onder BUSL-1.1: de relay, het beheerpaneel, de SDK's en de code van de licentie-client die de check-in doet. U kunt precies lezen wat uw relay doet, ook elk veld dat hij zou versturen, en hem zelf bouwen:

git clone https://github.com/Apolloccrypt/paramant-relay
cd paramant-relay
git checkout v3.0.0
docker compose build   # build locally instead of pulling the published image

2. Gepubliceerd image Live

Het image op Docker Hub wordt uit die repository gebouwd door de openbare GitHub Actions-workflow van het project. U kunt een lokaal gebouwd image vergelijken met de gepubliceerde tag, of het gepubliceerde image overslaan en uw eigen build draaien.

Van welke externe partijen de dienst afhangt, en wat elk daarvan krijgt: /partners.

3. Ondertekende releases Gepland

Cryptografisch ondertekende releasebestanden (zodat u de herkomst kunt controleren zonder zelf te bouwen) horen bij het ontwerp van de toeleveringsketen, maar zijn er nog niet. Zodra ze live zijn, ziet de controle er zo uit:

cosign verify mtty001/relay:3.0.0 \
  --key https://paramant.app/.well-known/paramant-release.pub

Het ondertekenen van releases en de integriteit van de toeleveringsketen staan in de ADR over het releaseproces (R015, in bewerking) in de openbare ADR-map.

4. Gedrag Live

Elke verzending die uw relay afhandelt wordt toegevoegd aan zijn eigen openbare Certificate Transparency-log, een ondertekende Merkle-boom die u zelf kunt inzien en archiveren. De logs van de relay leggen zijn uitgaande aanroepen vast. Zodra de online licentiecontrole er is, wordt ook elke check-in gelogd, zodat u kunt zien wat uw relay verstuurt.

Wat Paramant op afstand kan doen

Het model voor acties op afstand hieronder is Gepland: vastgelegd, nog niet gebouwd. De vaste grenzen onder "Niet mogelijk" gelden wel al Live, omdat ze volgen uit de architectuur en niet uit beleid.

In het ontwerp wordt elke actie op afstand vastgelegd in de eigen CT-log van uw relay, waar u die zelf kunt controleren: u ziet wat er is gedaan, wanneer en door welke rol bij Paramant (Owner of Support). Ons interne audittrail legt daarnaast vast welke persoon het deed, maar dat blijft intern.

Mogelijke acties op afstand (gepland)

Een kortlevende supportsleutel uitgeven: Een sleutel met een tijdslimiet om een probleem te onderzoeken dat u meldde. U kunt hem direct intrekken in uw beheerpaneel.
Een update aanbieden: Een nieuwe release beschikbaar maken voor uw relay. Hoe die wordt toegepast hangt af van uw abonnement: een melding waar u zelf op reageert, een updatevenster waar u voor kiest, of uitdrukkelijke goedkeuring. Nooit een stille update waar u niet mee instemde.
Afbouwmodus instellen: De relay vragen nieuwe uploads te weigeren, lopende verzendingen af te maken en daarna stil te staan. Wordt gebruikt voor onderhoud.
Uw capability-set aanpassen: Een wijziging van abonnement doorvoeren (proefperiode verlengen, upgrade na betaling). Dat gaat in bij de volgende check-in.

Niet mogelijk, door de opbouw Live

Uw bestanden lezen: buiten de gehoste ondertekenprocedure op /v1, het versturen naar ontvangers op naam en de extensies hebben wij geen sleutels om te ontsleutelen
Uw CT-log herschrijven zonder dat het opvalt: een herschrijving spreekt elke eerder ondertekende tree head tegen, en elk ontvangstbewijs bevat er een
Uw lokale TOTP of beheersleutel omzeilen: er zit geen achterdeur in de broncode, en de broncode is openbaar
Bij de gegevens van uw gebruikers of een andere installatie komen: relays zijn per ontwerp van elkaar gescheiden
Uw auditlog uitzetten: schrijven naar de CT-log hangt van geen enkele capability af

Protocol voor acties op afstand: de ADR over de beheerlaag (R014, in bewerking) in de openbare ADR-map.

Open-core: wat open is, wat gesloten is

Paramant volgt het open-core model dat ook HashiCorp, GitLab, Elastic en Sentry gebruiken: de software die u draait is open, de dienst die haar beheert niet.

Open: BUSL-1.1, openbaar op GitHub Live

De relay: alles wat op uw server draait
De SDK's en CLI-tools
De frontend: beheerpaneel, installatiewizard, dashboard
De licentie-client: de check-incode op uw relay
Alle ADR's, ook de protocollen voor licenties en de beheerlaag
De cryptografische specificatie en testvectoren

Bekijk de openbare repository →

Gesloten: intern beheerd door Paramant

De licentie-server: de dienstkant van de check-in
Het interne dashboard voor het beheer van alle relays
De databases voor klanten en facturatie
Supporttools en e-mailsjablonen

De protocollen zijn openbaar. Alleen onze uitvoering van de serverkant is intern, zoals GitLab zijn bedrijfsvoering intern houdt terwijl de kern open blijft. Omdat het protocol en de client open zijn, kunt u precies nagaan wat uw relay tegen ons zegt en wat hij terug accepteert.

De open-core verdeling staat in de open-core ADR (R016) in de openbare ADR-map.

Onafhankelijke controle

In april 2026 hebben drie externe beveiligingsaudits de code van de relay beoordeeld: twee door R. Zwarts, één door Ryan Williams van Smart Cyber Solutions. Samen leverden ze 40 bevindingen op, waarvan 4 kritiek. Datums, aantallen bevindingen en de commits die ze oplosten staan in de audittabel op de docs-pagina. Elke bevinding is beschreven in SECURITY.md. De beoordeling van Smart Cyber Solutions is volledig gepubliceerd als het auditrapport van april 2026. De ruwe pentestuitvoer daarachter is niet gepubliceerd. Een volgende externe beoordeling van v3.0.0 en de open-core architectuur is gepland. De uitkomsten worden daar gepubliceerd zodra ze klaar zijn.

Doet u zelf een audit, dan is wat openbaar is (relay, SDK's, frontend en de protocolspecificaties) genoeg om elke bewering op deze pagina zelf te controleren.

Vragen

Beveiligingsmeldingen en vragen: privacy@paramant.app. Voor gevoelig materiaal staan onze PGP-sleutel en het volledige beleid in security.txt.

Algemene vragen: privacy@paramant.app.

Vragen over prijzen en licenties: zie prijzen of mail naar hello@paramant.app.