Sikkerhed

Hvorfor vi ikke kan se dine tal

De fleste systemer lover, at de ikke kigger. Budgee er bygget, så der ikke er noget at kigge på. Her er forskellen — og hvad den koster dig.

Af Mike, der har bygget Budgee · 3. september 2026 · Læsetid 5 minutter

Dit budget er noget af det mest følsomme, din virksomhed har. Omsætning, lønninger, hvad du tjener, og hvor det gør ondt. Skal det ligge et sted på internettet, er det rimeligt at spørge, hvem der kan læse det.

De fleste systemer svarer noget i retning af: «vi har adgangskontrol, og vores medarbejdere må ikke se kundedata.» Det er sandt. Det er bare et løfte. Databasen indeholder tallene i klar tekst, og adgangen er styret af regler, som mennesker har skrevet — og som mennesker kan lave om, omgå eller blive tvunget til at åbne.

Budgee gør det omvendt

Når du skriver 412.500 ind i et felt, sker der følgende, før noget som helst forlader din maskine:

1. Dit kodeord bliver kørt igennem en nøgleudledning — 600.000 gennemløb af en standardmetode ved navn PBKDF2 — så der kommer en nøgle ud. Kodeordet selv sendes aldrig nogen steder hen.
2. Hvert budgetår har sin egen tilfældige nøgle. Den bliver pakket ind i din nøgle.
3. Budgettet krypteres med AES-256 i din browser.
4. Det, der sendes til serveren, er en klump tegn.

Slår jeg op i databasen, ser jeg noget i retning af dette:

qaR+s+/xxqRhGS54.joeq8bWlFmhOPGGKq1n2fXfYvT0nOZk…

Der er ikke et firmanavn i det. Ikke et tal. Ikke en medarbejder. Og der findes ingen knap noget sted, der kan lave det om til noget læsbart, for nøglen har jeg aldrig haft.

Hvad det betyder i praksis

Prisen: vi kan ikke redde dig

Det er den ærlige del, og den skal du forstå, før du begynder.

I et almindeligt system trykker du «glemt kodeord», får en mail, vælger et nyt, og dine data er der. Det kan lade sig gøre, fordi systemet kan læse dine data uden dit kodeord.

Det kan Budgee ikke. Dit kodeord er ikke en dør ind til budgettet — det er nøglen. Er den væk, er tallene væk. Vi kan ikke stille noget op, uanset hvor gerne vi ville, og uanset hvem du kender.

Derfor får du en genoprettelsesnøgle, når du opretter din konto. Den består af tilfældige tegn og er den eneste anden vej ind. Skriv den ned, læg den et sted, du kan finde igen om to år. Ikke i den samme browser. Ikke som en note i det samme system.

Har du hverken kodeordet eller genoprettelsesnøglen, er budgettet tabt. Det er ikke en fejl i systemet — det er det, der gør, at ingen andre kan læse det.

Tag i øvrigt en sikkerhedskopi ind imellem. Under Data → Gem backup henter du hele budgettet ud som en fil, i klar tekst, på din egen maskine. Den kan du altid læse.

Om delingen med revisoren

Deler du et budgetår, laves der en kode. Koden pakker årets nøgle ind, så din revisor kan låse netop det år op — og kun det.

• Ét år ad gangen. Deler du 2026, følger 2025 ikke med. Dine øvrige virksomheder heller ikke.
• Serveren gemmer aldrig koden. Den gemmer et aftryk, der kan bruges til at genkende koden, men ikke til at regne den ud.
• Én gang, syv dage. Koden kan bruges én gang og udløber derefter.
• Adgangen kan trækkes tilbage. Det, de allerede har set, kan af gode grunde ikke kaldes tilbage — men fremtidig adgang lukkes.

Vælger du at få koden sendt på mail, passerer den vores server og din revisors mailudbyder undervejs. Vi gemmer den ikke, men mail er ikke en sikker kanal. Vil du være helt på den sikre side, kan du sende mailen uden koden og give den over telefonen.

Hvad vi kan se

For en ordens skyld, for det ville være mærkeligt at fortie:

• Din e-mailadresse og hvornår du sidst loggede ind
• Hvor mange budgetår du har, og hvornår de sidst blev gemt
• Hvad du har betalt
• Hvem du har delt med — deres e-mail, ikke deres adgang

Det er det, der skal til for at drive tjenesten og sende dig en faktura. Indholdet af budgetterne er der ikke, og det bliver det ikke.