Vertrouwen en verificatie

Trust centre

Wat we kunnen laten zien, hoe je het zelf kunt controleren en wat nog niet bewezen is. Waar iets niet bewezen is, zegt deze pagina dat.

Waar we staan

Zeven lagen, per 23 oktober 2026. De middelste kolom is wat geldt; de rechter kolom is wat we nog niet hebben laten zien.

Laag	Wat nu geldt	Nog niet
Egressgrens	Originelen blijven op het apparaat (X-Ray) of in de Vera-omgeving (Shield). De hosts die de extensie mag benaderen staan vast in het manifest en worden door een test bewaakt; een netwerkcapture-test draait in de build.	Een zelfstandig no-egress-rapport, herhaald door een externe partij.
Sleutelbeheer	Mappings worden versleuteld en geauthenticeerd voordat ze worden bewaard.	Een productiedocument voor sleutelbeheer en een onafhankelijke cryptoreview.
Gate en allowlist	De uitgaande privacygate blokkeert zolang er een originele waarde resteert; de toegestane hosts van de extensie staan in de egressinventaris.	Een gepubliceerde specificatie van de regels en het faalgedrag van de gate.
Build en supply chain	De pakketten worden tot dezelfde bytes herbouwd (in elke build gecontroleerd op Linux en macOS); bij elke build komt een SBOM; de SHA-256 van de 1.0.28-pakketten staat hieronder.	Een ondertekende provenance-attestatie en een SBOM bij elke release.
Run-bewijs	De Shield houdt een runlog bij.	Een ondertekende receipt per run die een klant offline kan controleren.
Externe toetsing	Een gepubliceerde pentest van de SaaS-omgeving, en beoordeling door Google, Mozilla en Microsoft voordat Vera X-Ray 1.0.28 werd gepubliceerd.	Onafhankelijk testen van de extensie, de gate en het detectiecorpus; de re-test van twee bevindingen.
Bewijs over de inhoud	Verified by Vera: ondertekend, van tijdstempel voorzien, voor iedereen controleerbaar.	Een gepubliceerde meting van de Evidence Engine op Nederlandse en Engelse professionele uitspraken.

Controleer het zelf

Een Verified by Vera-certificaat: hoe je de handtekening, de keten en de tijdstempel controleert, met de commando’s.
Hoe de Evidence Engine tot een oordeel komt: stappen, bronbeleid en grenzen.
Hoe de Privacy Shield werkt: proces en logvelden.
Hoe het gedrag van Vera wordt getest: tests, ook de runs die niet slaagden.

Externe toetsing

Pentest van de SaaS-omgeving. Getest door Daniel Kostovski van 23 tot 27 september 2026 (grey-box): geen kritieke of hoge bevindingen, één medium en vijf lage of informatieve bevindingen; 38 controles geverifieerd; alle zes bevindingen dezelfde dag afgehandeld. Het rapport bevat het remediatielog, een bevinding die we niet konden reproduceren en hebben laten staan, en een gedeeltelijke remediatie. De re-test van twee bevindingen is gepland en nog niet uitgevoerd. Lees het volledige rapport.

De test betrof de SaaS-omgeving. De browserextensie, de gate van de Privacy Shield en de detectiemodellen vielen erbuiten; die zijn nog niet onafhankelijk getest.

Storebeoordeling. Vera X-Ray 1.0.28 is op 16 oktober 2026 beoordeeld en gepubliceerd door Google (Chrome Web Store), Microsoft (Edge Add-ons) en Mozilla (Firefox Add-ons).

Pakketten van Vera X-Ray 1.0.28

SHA-256 van de pakketten zoals ze bij de stores zijn ingediend. Een store kan een pakket opnieuw verpakken of ondertekenen, dus het bestand dat een store aanbiedt kan een andere hash hebben.

Pakket	SHA-256
`xray-chrome-1.0.28.zip`	`ac9133f51e86a73e7850a18413a39d0aea6000ff698e7ed3a3bce9a12583e9e3`
`xray-firefox-1.0.28.zip`	`399f8addc9b6b1d388fc7f7ee54e00c7c73efb76349d474dc9ee87bf5fd323a4`
`xray-source-1.0.28.zip`	`c5a190a0f8d551fb0051bb2def4f9adf90622d2d02b63c80fc94ddfbab1d57e0`

Beperkingen

Detectie is niet volledig voor lopende tekst, en elk resultaat vraagt jouw controle voordat je het goedkeurt. De detectieresultaten zijn gemeten op synthetische documenten; echte documenten scoren lager, en nog geen externe reviewer heeft een steekproef gecontroleerd.
Vera X-Ray zet waarden lokaal terug na het antwoord van Vera. Dat terugzetpad en de lokale eigenaar van het apparaat zijn restrisico’s, geen uitgesloten risico’s.
Een lijst met toegestane hosts in het manifest is geen garantie van het besturingssysteem.
De handtekening en de tijdstempel van Verified by Vera zijn niet gekwalificeerd onder eIDAS. Een certificaat toont dat een bron iets zegt, niet dat de bron gelijk heeft.
Een openbare intrekkingslijst voor het ondertekeningscertificaat wordt niet gepubliceerd.

Een kwetsbaarheid melden

Meld het aan security@iamvera.ai. Het beleid, de reikwijdte en de safe harbour staan in het beveiligingsbeleid; de machineleesbare versie is security.txt.

De broncode van Vera X-Ray staat in een private repository. Een koper die haar wil inzien vraagt eerst toegang.

Laatst bijgewerkt: 23 oktober 2026. Vera X-Ray versie 1.0.28.