Één zin in onze interne documentatie heeft meer discussies beslecht dan wat we sindsdien ook hebben opgeschreven: alleen Europese leveranciers, nergens Amerikaanse, niet in het product en niet in waar het van afhankelijk is. Wat die regel uitsloot, wat hij opleverde, en hoe we ons eraan houden. Deel 1 van een reeks over hoe we email.eu hebben gebouwd.
Vroeg in het traject schreven we één zin in onze interne documentatie, en die zin heeft meer discussies beslecht dan wat we sindsdien ook hebben opgeschreven: alleen Europese leveranciers. Geen Amerikaanse leveranciers, nergens in het product of in waar het van afhankelijk is.
Niet "in Europa gehost". Niet "AVG-proof", wat elke provider beweert. Geen Amerikaans bedrijf ergens in de keten, punt. Deze post gaat over wat het werkelijk kost om je aan die zin te houden, en waarom wij denken dat het de enige versie van "soeverein" is die iets betekent. Het is ook het eerste deel van een reeks over hoe we email.eu hebben gebouwd, want bijna elke technische beslissing in de rest van de reeks komt terug op deze ene regel.
De comfortabele versie van soevereiniteit is een regio in Frankfurt huren bij een Amerikaanse hyperscaler en een Europese vlag op de prijspagina zetten. De bytes staan in Duitsland. Het bedrijf dat erover gaat legt verantwoording af in Washington, CLOUD Act inbegrepen. Waar je data fysiek staat en wie juridisch gedwongen kan worden hem te overhandigen zijn twee verschillende vragen, en alleen de tweede doet ertoe als het erop aankomt.
Onze regel gaat dus niet over geografie. Hij gaat over rechtsmacht, de hele leveranciersketen door. Kan een Amerikaans bedrijf bij de data, dan is de vlag op het datacentrum versiering.
Een regel die je nooit voelt is geen regel. Hier zijn de plekken waar de gemakkelijke, in de sector gebruikelijke keuze Amerikaans was, en wat we in plaats daarvan deden.
| De standaardkeuze | Ons antwoord |
|---|---|
| Cloudflare voor alles | Niets ervoor. Het eigen netwerk en anti-DDoS van OVHcloud, en diensten die gebouwd zijn om direct aan het internet te staan. |
| reCAPTCHA of hCaptcha bij aanmelden | Altcha, een rekenpuzzel die je browser lokaal oplost. Er belt niets naar een verificatiedienst. |
| Stripe voor betalingen | Mollie, uit Nederland. |
| SendGrid of SES voor transactionele mail | Remails, een Europese, opensource en privacy-eerst provider voor transactionele e-mail. |
| Google Analytics | Umami, zelf gehost en zonder cookies, op ons eigen cluster. |
| Datadog of Grafana Cloud voor monitoring | Zelf gehoste metingen en een publieke statuspagina die daaruit gevuld wordt. |
| Google Fonts | Lettertypen die één keer bij het bouwen worden gedownload en van onze eigen servers komen. |
Elke regel was een echte beslissing met een echte prijs. De Amerikaanse optie is meestal de gepolijste, met de betere documentatie en de grotere gemeenschap. Nee zeggen tegen al die opties, elke keer, zonder dat er uitzonderingen insluipen "alleen voor dit ene ding", is het eigenlijke werk. Eén "tijdelijke" Cloudflare-opzet of één analyticssnippet en de bewering op de homepage is stil onwaar.
De opbrengst zit in een getal: drie. Dat is de volledige lijst van bedrijven die klantdata verwerken bij email.eu. OVHcloud voor infrastructuur, Mollie voor betalingen, Moneybird voor facturatie. Frans, Nederlands, Nederlands. We hebben de hele lijst gepubliceerd, randgevallen inbegrepen, en het is dezelfde lijst als in onze DPA.
De meeste werkomgevingsproducten hebben een subverwerkerslijst die tientallen bedrijven lang is, want elke gemakkelijke clouddienst die er over de jaren aan geschroefd is staat erin. De onze is kort om een structurele reden: alles wat je mail, bestanden of identiteit aanraakt is software die we zelf beheren in plaats van een dienst waar we je data naartoe sturen. De regel dwong dat af. Kun je de Amerikaanse dienst niet kopen, dan draai je uiteindelijk het opensource-equivalent op je eigen machines, en houdt je data op met reizen.
We moeten eerlijk zijn over de randen, want een transparantieclaim met verzwegen randen is slechter dan geen claim. Onze broncode en bouwpijplijn staan op GitHub, en dat is Amerikaans. Code, geen klantdata, maar we vertellen het liever dan te hopen dat niemand ernaar vraagt. De volledige eerlijke lijst staat in de subverwerkerspost.
De regel betekent dat de moeilijke delen aan ons zijn. Geen uitbestede e-mail-API, geen uitbestede identiteitsdienst, geen supportdesk van een derde met onze data erin. Wij draaien de mailservers, de identiteitsprovider, de bestandsopslag, de videolaag, de facturatiemotor, alles, op infrastructuur die wij beheren bij OVH.
Dat is het punt van de regel, niet de prijs ervan. Een provider die zijn eigen laag beheert begrijpt hem, kan hem om drie uur 's nachts repareren, en kan een klant recht aankijken over waar precies elke byte heen gaat. De rest van deze reeks is een rondleiding over hoe dat in de praktijk werkt:
Klinkt de bestemming goed en vraag je je af hoe de reis eruitziet, dan is het praktische antwoord korter dan je zou denken: de meeste teams verhuizen in een weekend, en er verandert niets voor de buitenwereld tot één DNS-record helemaal aan het eind.