Beveiligingscentrum
Onder Beveiliging → Beveiligingscentrum zie en regel je alles rond beveiliging: wie er is ingelogd, meldingen naar Teams, onderhoud en AVG-verzoeken. De regels zitten in de database zelf, niet alleen in het scherm.
| Tabblad | Wat je ziet | Voor wie |
|---|---|---|
| Logboek | Aanmeldingen, nieuwe apparaten, ingetrokken sessies, Graph-rechten, AVG-exports, geblokkeerde scripts, onderhoud | Beheerders |
| Sessies | Elke sessie per persoon en apparaat; intrekken van één of alle | Iedereen (eigen), beheerders (alle) |
| Graph-rechten | Per klant welke rechten de app écht had bij de laatste test | Iedereen |
| Meldingen | Teams of een eigen webhook, welke gebeurtenissen, testmelding | Beheerders |
| Onderhoud | Melding in app, boekpagina en portaal; zelf inplannen blokkeren | Beheerders |
Sessies intrekken
Elke aanmelding is een sessie. Trek je een sessie in, dan verliest die meteen alle toegang tot data, ook als het token nog geldig is en ook na het verversen ervan.
Scroll hierheen of druk op afspelen.
Doe drie dingen: alle sessies intrekken, het teamlid uit het team halen, en het account blokkeren in Entra. Dat laatste is de echte deur: zonder Entra-account kan niemand opnieuw inloggen.
Meldingen naar Teams
Rollout stuurt meldingen vanuit de database. De webhook-URL wordt opgeslagen in een tabel die geen gebruiker kan lezen; na het opslaan zie je alleen nog het begin ervan.
- Webhook maken in Teams
In het kanaal: Workflows → "Post to a channel when a webhook request is received" → kopieer de URL.
- Opslaan in Rollout
Beveiligingscentrum → Meldingen → plak de URL, kies de gebeurtenissen en klik Testmelding. Die moet binnen een paar seconden in het kanaal staan.
- Kies wat je wilt horen
Aanmelding op een nieuw apparaat, sessies ingetrokken, te ruime Graph-rechten, koppeling werkt niet, geblokkeerd script (CSP), AVG-verwijdering, onderhoud aan/uit, uitvoeren met één klik, en een dagoverzicht van medewerkers die morgen een afspraak hebben en nog niet klaar zijn.
Voorwaarde: de extensie pg_net staat aan in Supabase (Database → Extensions). Maximaal 30 meldingen per uur per organisatie; elke poging staat onder Verstuurde meldingen.
Graph-rechten bewaken
Bij elke verbindingstest kijkt Rollout welke rechten er in het token zitten. Alles wat kan schrijven, mail versturen, rollen beheren of geheimen lezen laat de test falen. Ruimere leesrechten (zoals Directory.Read.All) geven een waarschuwing. Zo zie je het meteen als iemand de app-registratie te veel rechten geeft.
Onderhoud
Twee standen:
| Onderhoudsmelding | Harde onderhoudsmodus | |
|---|---|---|
| Waar | Beveiligingscentrum → Onderhoud | Omgevingsvariabele MAINTENANCE_MODE=on + redeploy |
| Effect | Melding in de app, op boekpagina en portaal; optioneel zelf inplannen blokkeren | Alles dicht: elke pagina toont een onderhoudspagina, elke API geeft 503 |
| Wanneer | Gepland werk, de app blijft bruikbaar | Grote updates, incidenten, of als de database zelf down is |
Bij de harde modus blijven /api/health en /api/ready werken. Met MAINTENANCE_BYPASS_IPS kun je zelf wel binnen om te testen.
AVG: inzage en verwijderen
Op de pagina van een medewerker kan een beheerder:
- Exporteren: alle gegevens als JSON, voor een inzageverzoek (art. 15).
- Verwijderen: met een verplichte reden en de naam overtypen. Afspraken, uitnodigingen, gereedheid en reactie worden verwijderd; laptops blijven maar worden ontkoppeld.
Beide acties worden vastgelegd met een referentie, zonder de naam. Bestaande regels in het auditlog blijven staan (dat is onvervalsbaar) en verdwijnen met de bewaartermijn.