Gebouwd voor de review die je
architect toch zal draaien.
Waar het platform draait, hoe tenant-data en credentials beschermd zijn, en waarom het tier-3 hybride model betekent dat je secrets nooit afhangen van vertrouwen in onze cloud. Deze pagina vat de architectuur samen die we met enterprise-reviewers doorlopen — een diepere technische review en de DPA zijn beschikbaar onder NDA.
Hosting & residentie
EU-gehost. EU-eigendom. Jij kiest waar het draait.
Het beheerde SaaS-controlplane draait in AWS Ierland (eu-west-1), dus je data blijft in de EU. AWS is echter een Amerikaans-eigen operator — dus waar Amerikaanse jurisdictie volledig van tafel moet, loopt het spectrum hieronder helemaal door tot EU-soevereine operators en je eigen datacenter. RapidValue zelf is een Belgisch bedrijf — geen Amerikaanse moeder, geen extraterritoriale eigendomsvraag bovenop je data-residentievraag.
In elke optie kan de tier-3 agent bovendien connector-credentials binnen je eigen netwerk houden.
SaaS
AWS eu-west-1 · Ierland
Volledig beheerd. AVG-conforme EU-dataresidentie. Snelst te starten — POC dezelfde dag.
Beste keuze voor de meeste EU-mid-market
EU-soevereine SaaS
OVH / Scaleway · EU-gevestigd
Dezelfde beheerde dienst op een Europese operator. Geen blootstelling aan de Amerikaanse Cloud Act, geen Amerikaanse jurisdictie over je data.
Gereguleerde sectoren, Cloud Act-zorgen
Private cloud
Je eigen AWS-/Azure-/OVH-account
Wij deployen en beheren het platform in je eigen cloud-account. Je data blijft in je eigen omgeving.
Kritieke infrastructuur, strikte residentie
On-premises
Je eigen datacenter
Docker Compose (gecontaineriseerde deploy). Jij deployt en beheert, onder je eigen controls.
Overheid, defensie, strikte isolatie
Gegevensbescherming
Versleuteld onderweg en at rest — sleutels apart van de data bewaard.
🔒 Onderweg
Al het externe verkeer eindigt op TLS met automatisch vernieuwde certificaten. De agent authenticeert tegen het controlplane met een ECDSA P-256 challenge-response — een gelekt token alleen kan geen sessie opzetten.
💾 At rest
De governance-database (beheerde PostgreSQL) is at rest versleuteld met AWS KMS. Connector-secrets leven in een authenticated-encryption-vault waarvan de master key apart van de beschermde data wordt bewaard.
🗝️ Bring your own vault
Draai je al HashiCorp Vault, Azure Key Vault of AWS Secrets Manager? Registreer het als secret-backend — RapidValue slaat referenties op, jouw vault houdt de waarden. Read-only-backends worden ondersteund: we kunnen secrets resolven die we nooit kunnen schrijven.
🛡️ Tier-3-custody
Voor on-prem systemen resolvet de agent in jouw VPC credentials lokaal — ze worden nooit naar het controlplane verstuurd. De lijn draagt configuratie, geen secrets, en elke gebridgede request is vastgepind op z'n gedeclareerde doel zodat de agent niet als proxy kan worden hergebruikt.
Enkel de datastore compromitteren levert ciphertext op; enkel een sleutelstore compromitteren levert sleutels tot niets op.
Bring Your Own Vault
Draai je al een corporate secret-store? Koppel 'm direct — RapidValue slaat connector-credentials in jouw vault op, niet in de onze.
De tier-3 agent
Twee-laags architectuur. Scherpe datagrens.
Het controlplane doet task scheduling, configuratie, dashboards en geaggregeerde rapportage. De agent doet connector-uitvoering, ruwe identity-data en lokale secret-resolutie. Connector-credentials verlaten nooit je netwerk — door architectuur, niet door beleid.
🌐 Controlplane (onze EU-cloud)
- Task scheduling + queue
- Tenant-config, dashboards, audit-keten
- Connector-metadata (engine-type, vendor-template)
- Geaggregeerde identity-/grant-data (na sync, geen secrets)
🏢 Agent (jouw VPC)
- Lokale
agent-vault.json— versleutelde credentials - Connector-uitvoering tegen je AD-/LDAP-/REST-doelsystemen
- Sync-resultaten teruggestuurd naar het controlplane — jij kiest wat synct via de attribuutselectie in de wizard
- HMAC-gesigneerde self-update met automatische rollback
Resultaat: je krijgt de operationele eenvoud van SaaS met een scherpe, afdwingbare datagrens. Auditors kunnen verifiëren dat connector-secrets 'm nooit hebben overschreden door de agent-broncode te lezen — één enkel Python-bestand.
Beveiligingsvergelijking naast elkaar
Agent vs. SSL-VPN — wanneer klassieke IGA in je AD grijpt.
Klassieke IGA-platformen deployen doorgaans een virtuele appliance achter een door de klant beheerde VPN om AD te bereiken. De VPN geeft je connectiviteit — maar ook een wagenwijd open IP-tunnel tussen de SaaS van de vendor en je interne netwerk. Zo verhoudt de tier-3 agent zich op elke beveiligingsdimensie die in klantreviews aan bod komt.
Schematisch. Het appliance-patroon zoals klassieke IGA het gewoonlijk deployt om on-prem AD te bereiken; details verschillen per vendor.
← swipe om te vergelijken →
| Dimensie | Klassieke SSL-VPN-deployment | RapidValue tier-3 agent |
|---|---|---|
| Waar connector-credentials leven | SaaS van de vendor Opgeslagen in de vault van de vendor. Versleuteld onderweg + at rest aan hun kant. Jouw security review moet hun sleutelbeheer, hun back-upproces en hun breach-response vertrouwen. |
Jouw machine Opgeslagen in agent-vault.json op de agent-host.
Versleuteld met een lokale master key (env-var, lokaal sleutelbestand,
of je eigen secret-store — Azure Key Vault / HashiCorp Vault).
Nooit naar het controlplane verstuurd. |
| Netwerk-ingress | Inkomend toegestaan De SSL-VPN-tunnel eindigt binnen je netwerk. Van nature kan de appliance van de vendor verbindingen opzetten naar alles wat vanaf dat VPN-endpoint bereikbaar is — brede blast radius. |
Geen inkomend De agent verbindt uitgaand op poort 443 naar *.rapidvalue.eu.
Geen luisterende poorten op de agent-host. Je firewall ziet één
bekende TLS-bestemming. Meer niet. |
| Dataclassificatie die de SaaS bereikt | Ruw, ongefilterd De VPN ziet AD-bind-events, ruwe gebruikersattributen, wachtwoordoperaties. De SaaS van de vendor houdt volledige identity-data inclusief gevoelige velden (personeelsnummers, badge-ID's, soms salarissen). |
Jij bepaalt wat synct De agent voert connector-calls uit in je netwerk en stuurt resultaten terug naar het EU-controlplane. Wat er geïmporteerd wordt, ligt onder jouw controle: de attribuutselectie in de wizard bepaalt per object en per veld wat überhaupt synct. Secrets resolven lokaal, worden nooit geüpload. |
| SSRF- / willekeurig-doel-risico | Standaard open De VPN-tunnel beperkt niet wat de SaaS-kant kan vragen. Een gecompromitteerd controlplane kan elke interne dienst vanaf het VPN-endpoint bereiken — databases, secret-stores, interne adminpanelen. |
URL-allowlist Elke getunnelde HTTP-request van het controlplane draagt allowed_base_url = de geconfigureerde connector-base-URL.
De agent weigert elke URL die niet matcht. Standaard gesloten,
geen "achteraf dichttimmeren". |
| Authenticatie van controlplane → endpoint | Op VPN-niveau Authenticatie gebeurt één keer (VPN-handshake). Daarna is de tunnel volledig vertrouwd. Geen ondertekening per request of replay-bescherming. |
Per sessie ondertekend De agent authenticeert via een ECDSA P-256-keypair + challenge-response. Kortlevende JWT-access-tokens van 4 uur. Nonces zijn eenmalig, geverifieerd tegen de geregistreerde publieke sleutel van de agent. Optioneel mTLS erbovenop. |
| Audit-trail van acties aan vendor-kant | In handen van de vendor VPN-verbindingslogs liggen bij de vendor; elke ongewone actie vereist een ticket + hun breach-responsproces om aan het licht te komen. Vaak pas maanden later ontdekt. |
Lokaal + onwrikbaar Elke connector-call wordt gelogd op de agent-host en teruggerapporteerd naar de audit-keten (HMAC-gesigneerd, onwrikbaar via PostgreSQL-trigger). Verifieer op elk moment vanaf jouw kant, zonder tussenkomst van de vendor. |
| Integriteit van self-update | Beheerd door de vendor De vendor pusht appliance-updates over de tunnel. Verificatie hangt af van hun build-pipeline + jouw vertrouwen in hun ondertekeningsproces. Beperkte rollback-opties. |
HMAC-geverifieerd + auto-rollback Elke release is HMAC-SHA256-gesigneerd met een sleutel per agent. De agent verifieert vóór het wisselen. Een mislukte boot binnen 60s herstelt automatisch de vorige binary. Geen nood-SSH vereist. |
| Blast-radius-limieten (write-operaties) | Geen op netwerklaag De VPN weet niet wat een "normale" provisioning-snelheid is. Een verkeerd geconfigureerde policy of gecompromitteerde SaaS kan je AD massaal wijzigen nog voordat de standaard IGA-veiligheidsdrempels überhaupt controleren. |
Drempels per agent Provisioning-drempels (creates / updates / deletes) geconfigureerd per agent-boot. Zodra ze overschreden zijn, weigert de agent die operatieklasse tot je het onderzoekt. Extra vangnet naast de veiligheidsguards van het controlplane. |
| Decommissioning | Formele afbouw VPN-certificaat intrekken, firewallregels opruimen, appliance-VM decommissionen, tenant verwijderen aan vendor-kant. Een proces van meerdere weken voor een POC van twee weken die niet doorging. |
Eén commandosystemctl stop rv-agent (of kill de Docker-container).
De agent stopt met taken accepteren; het vault-bestand kan worden verwijderd;
firewallregels en accounts blijven onaangeroerd. Schoon weglopen. |
De garantie op vendor-credentials — op papier
Connector-credentials die door de tier-3 agent worden verwerkt, blijven de volledige connector-levenscyclus binnen je netwerk. Het controlplane ontvangt ze nooit, logt ze nooit, maakt er nooit een back-up van. We leggen dit vast als een bindende architecturale toezegging in onze overeenkomsten — geen beleid dat je moet vertrouwen. Lees de agent-broncode (≈ 1.500 regels Python, één bestand) en verifieer het zelf.
Isolatie & verantwoording
Tenant-gescoped datamodel. Auditbestendig door architectuur.
🧱 Tenant-isolatie
Elke rij draagt een tenant-identifier en elke query is door architectuur tenant-gescoped — cross-tenant-toegang is structureel onmogelijk via de API. Dedicated single-tenant-deployment beschikbaar voor striktere eisen.
⛓️ Onwrikbare audit-keten
De audit-log is onwijzigbaar op databaseniveau (updates en deletes worden door de engine zelf geweigerd) en hash-chained — elk record draagt een cryptografische link naar z'n voorganger, dus manipulatie is detecteerbaar, en exports zijn gesigneerd.
🇪🇺 AVG, geoperationaliseerd
Het recht op verwijdering (Art. 17) is een ingebouwde pseudonimisatie-flow die de wettelijk verplichte audithistorie behoudt; dataportabiliteit (Art. 20) is een export per tenant die een volledige, machine-leesbare kopie van je data oplevert.
🔑 Jouw IdP, jouw sessieregels
Log in op RapidValue via je eigen identity provider, dwing MFA en een wachtwoordbeleid per tenant af — en een admin deactiveren beëindigt hun sessies onmiddellijk, niet pas bij het verlopen van het token. Elke login, reset en intrekking landt in de onwrikbare audit-trail.
🚦 Deploy-veiligheid
Releases passeren een diepe health-gate — schema-drift of een ongezonde database laat de deployment luid falen in plaats van een gedegradeerd platform te serveren. Back-ups draaien per tier met onafhankelijke lifecycle-policies.
🪞 Het platform governt zichzelf
Je admins zijn gegoverneerde identiteiten: platformrollen zijn group-memberships, elke rol-toekenning is een grant die net als elke andere in reconciliatie en access reviews opduikt — en guardrails zorgen dat automatisering nooit je laatste admin kan wegnemen.
Deze site zelf: statische pagina's, geen cookies, cookieloze EU-gehoste analytics (Plausible) — geen cross-site tracking, geen persoonlijke identifiers.