Beveiliging Mijn LoonDossier

Zoals aangegeven zijn de webservers de enige servers die publiek toegankelijk zijn. Toegang tot Mijn LoonDossier verloopt over https, waardoor de verbinding altijd versleuteld is. Gebruikers krijgen toegang tot de website via een combinatie van gebruikersnaam en wachtwoord. Wachtwoorden worden niet opgeslagen: wel de van een random salt voorziene hash van het wachtwoord (voorziening tegen dictionary attacks).

Voor toegang door externe services (o.a. de mobiele apps, maar ook Loon zelf) geldt hetzelfde: de verbinding loopt allereerst over https. Ten tweede vraagt de service een zogenaamd token aan via een procedure met een combinatie van gebruikersnaam, wachtwoord en random seed (voorziening tegen replay attacks) waarmee voor een bepaalde periode toegang wordt gekregen tot de gegevens op Mijn LoonDossier (doorgaans een uur, eveneens tegen replay attacks). Het wachtwoord gaat in die procedure nooit ongehasht over de lijn en die hash hangt weer af van de random seed.

De web site is architectonisch gescheiden in losse delen voor elke rol (klant, werkgever, werknemer) waardoor op een centrale plek ingericht kan worden hoe de toegang tot de gegevens verloopt. Werknemers hebben daardoor geen toegang tot werkgevergegevens, werkgevers alleen tot de gegevens van hun eigen werknemers, enzovoort.

Om XSS-aanvallen te voorkomen wordt invoer van de website nooit gebruikt voor weergave op het scherm dan wel als parameter voor SQL-queries.