retrAIt Plan jouw dag ↗

Blog / 5 artikelen

Veilig bouwen met AI

Waarom apps die met AI gebouwd zijn zo vaak lekken, en wat je zelf controleert: sleutels, beveiligingsheaders, bestanden die per ongeluk online staan en een plan voor als het toch misgaat.

Een groene houten deur zit op slot met een rond hangslot aan een roestige grendel — Foto Rodion Kutsaiev via Pexels

Blog / 5 artikelen

De leerlijn Veilig bouwen loopt het met je door op je eigen site en server, met controles die je zelf kunt herhalen.

Bekijk het online programma ↗

Beveiligingsheaders in gewone taal: HSTS, CSP en de restBeveiligingsheaders zijn korte regels die je server met elke pagina meestuurt en die de browser vertellen wat wel en niet mag. HSTS dwingt een beveiligde verbinding af, X-Frame-Options houdt je pagina uit andermans kader en een Content-Security-Policy bepaalt waar scripts vandaan mogen komen. Met curl -sI of een testsite zie je welke jouw site stuurt.
Een datalek op je eigen site: de eerste 72 uurEerst dicht je het lek, dan zoek je uit wat er gebeurde. Een datalek meld je binnen 72 uur nadat je er redelijk zeker van bent bij de Autoriteit Persoonsgegevens, via het meldformulier, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Bij een hoog risico informeer je ook de mensen zelf, en elk datalek leg je vast in een eigen register.
Waarom apps die met AI gebouwd zijn zo vaak lekkenApps die met AI gebouwd zijn, lekken zelden door slimme aanvallen en meestal door eenvoudige fouten, zoals sleutels in code die elke bezoeker binnenkrijgt en databases zonder regels over wie wat mag zien. De AI bouwt wat je vraagt. Veiligheid moet je er dus uitdrukkelijk bij vragen en daarna laten controleren.
Wachtwoorden en API-sleutels in je code: zo voorkom je een lekEen API-sleutel is een wachtwoord voor programma's en hoort in een .env-bestand op je server, buiten de webmap, alleen leesbaar voor jou en nooit in git. Alles wat de browser binnenkrijgt, is openbaar. Lekt er toch een sleutel, dan maak je een nieuwe en trek je de oude in, want alleen weghalen is niet genoeg.
Wat staat er per ongeluk openbaar op je website?Alles in de webmap van je site kan iedereen opvragen, ook bestanden waar je nergens naar linkt. Bots proberen voortdurend namen als /.env, /.git/config en backup.zip. Met een lijst van je online bestanden en een paar curl-commando's zie je in een kwartier of er iets staat wat er niet hoort.

Delen

Ken je iemand die hier iets aan heeft?

Stuur deze 5 artikelen over veilig bouwen met AI door aan wie ermee bezig is, of deel ze als beeld.

Als beeld, voor je story of een post

Op een telefoon deel je het beeld meteen, bijvoorbeeld als story op Instagram of in je WhatsApp-status. Op een computer bewaar je het. Zet de link erbij, in je bericht of als sticker.