Vi viser alt. Du behøver ikke stole på os blindt.

Du flytter en kritisk del af din stack hertil — det fortjener fuld indsigt. Her er hvad vi viser frem hver dag uden at du behøver spørge.

1. Live tal — lige nu

Tallene nedenfor hentes fra produktions-databasen ved hver besøg. Ingen marketing-rundinger, ingen statiske tal fra 2023.

Verificér selv: curl https://api.danadresse.dk/api/v1/stats

2. Kildekode er åben

Alt der ikke er forretnings­hemmeligheder (API-nøgle-hashing-pepper, kunde-data, billing-secrets) ligger offentligt på GitHub. Ja, det betyder du kan auditere hvordan vi parser DAWA-svar, hvordan vi hasher dine nøgler, og hvilke logs vi tager.

3. Driftsstatus i realtid

Vi vedligeholder en status-side med oppetid for de seneste 90 dage. Incidents loggges åbent inkl. root cause og postmortem.

👉 Se status.danadresse.dk

Hver komponent ovenfor (API, Database, Search, SMTP, DNS) får sin egen graf. Ingen "all systems operational"-løgn — hvis SMTP er nede, står det der.

4. Vores datakilder — alt sammen offentligt

Datasæt	Kilde	Licens	Hyppighed
DAR — adresser	Klimadatastyrelsen (SDFI)	CC BY 4.0	15 min
DAGI — sogn, politikreds…	SDFI / GeoDanmark	CC BY 4.0	Daglig
BBR — bygninger	Vurderingsstyrelsen + kommuner	Gratis (offentlig)	Daglig (planlagt Q3)
Postnumre	PostNord + SDFI	Gratis	Månedlig
Kommuner & regioner	Indenrigsministeriet	Public domain	Sjælden

5. Sikkerhed — hvad vi gør

• API-nøgler er hashed. Vi gemmer SHA-256(key + pepper) + sidste 4 cifre. Selv jeg som udvikler kan ikke aflæse en nøgle. Du ser den én gang ved oprettelse — derefter er den væk.
• Adgangskoder via bcrypt. Cost 12. Ingen klartekst nogensinde.
• OTP-koder hashed. 6-cifret koden lagres som SHA-256, max 5 forsøg, 15 min TTL.
• HTTPS overalt. TLS 1.3, HSTS preload, ingen mixed content. Wildcard SSL via acme.sh + Let's Encrypt.
• JWT med kort levetid. 24 timer. Dashboard-cookies er HttpOnly + Secure + SameSite=Lax.
• Rate-limit per nøgle. Redis token bucket. Stopper brute force + abuse.
• EU-data-residens. Servere i Tyskland. Ingen kommunikation forlader EU.
• Backups krypteret. Daglige backups, AES-256, opbevares 30 dage.

6. Hvad vi ikke gør

• Vi sælger ikke dine data. Ikke til reklame-netværker. Ikke til data-brokere. Ikke til CVR-ranking-tjenester.
• Vi har ingen tredje­parts-trackere. Ingen Google Analytics. Ingen Facebook Pixel. Ingen Hotjar. Forsiden bruger PostHog (EU-hostet, self-hosted).
• Vi læser ikke indholdet af jeres requests. Vi logger metoder, paths, timing — ikke body.
• Vi sender ingen marketing-mails uden eksplicit double-opt-in. Du kan slå alle mails fra i dashboardet.

7. Hvis du finder en bug eller sårbarhed

Vi har et responsible disclosure-program. Skriv direkte til security@lynbro.dk (PGP-nøgle på keys.openpgp.org). Vi svarer indenfor 48 timer og krediterer dig hvis du vil.

Mindre alvorlige bugs: åbn en GitHub-issue. Ingen bug bounty endnu, men vi sender swag.

8. Hvis vi går ned i morgen

Hele systemet er åbnt source. Hvis Danadresse forsvinder kan du klone repoet, deploye til en VPS og fortsætte. Vores docker-compose.yml + alembic-migrationer + Meili-config ligger der.

Vi har også en data-portability-eksport i dashboardet — du kan trække alle dine API-nøgler, brugs-statistik og fakturaer ned som JSON eller CSV når som helst.