Jouw inlogpagina,
op jouw eigen domein

Inloggen dat eruitziet als jouw product, niet als ons

Je gebruikers zien het woord Maillog nergens. Het inloggen staat op jouw domein, in jouw thema, onder jouw voorwaarden.

Je software koppelen met drie waarden

Maillog spreekt standaard OAuth 2.0 en OpenID Connect. Heeft je framework een OIDC-bibliotheek — en dat hebben ze allemaal — dan ben je één configuratieblok verder.

// NextAuth/Auth.js — elke OIDC-bibliotheek werkt zo
providers: [
  {
    id: "maillog",
    name: "Inloggen met je account",
    type: "oauth",
    issuer: "https://login.maillog.dev",       // of login.jouwdomein.nl
    clientId: MAILLOG_CLIENT_ID,
    clientSecret: MAILLOG_CLIENT_SECRET,
    authorization: { params: { scope: "openid profile email" } },
  },
]

Gratis beginnen, groeien met je gebruikers

De eerste 100 accounts zijn gratis, voor altijd. Betaalde plannen voegen capaciteit, domeinen en support toe.

Extra accounts boven je bundel rekenen we af per account per maand, met een optioneel maandplafond. Tweefactorauthenticatie zit in elk plan, ook Free.

Veelgestelde vragen

Kan het inlogscherm op mijn eigen domein staan?

Ja. Je stelt een inloghost in, zoals login.jouwdomein.nl, verifieert die met één DNS TXT-record (dezelfde controle als bij een verzenddomein), en Maillog serveert het inlogscherm op die naam, in jouw stijl. Een niet-geverifieerde host serveert nooit een scherm maar verwijst naar ons eigen domein — de adresbalk komt dus altijd overeen met het merk dat je gebruiker verwacht.

Kan ik de inlogpagina in mijn eigen stijl geven?

Ja. Elke applicatie krijgt een thema met je productnaam, je logo (via https) en twee merkkleuren voor de knop en de achtergrond. Het inlog-, toestemming- en tweefactorscherm dragen allemaal jouw thema. Alle waarden worden streng gecontroleerd — alleen hexkleuren en https-logo's — zodat je niets kunt invoeren dat opmaak of scripts in de pagina smokkelt.

Hoe koppel ik mijn eigen software?

Maillog is een identity provider volgens OAuth 2.0 en OpenID Connect. Elke bibliotheek die OIDC spreekt werkt: NextAuth/Auth.js, AppAuth, Spring Security, Ory, Passport, en de SDK's van de meeste frameworks. Je hebt drie waarden van ons nodig: een client-id, een client-secret en onze discovery-URL (/.well-known/openid-configuration). PKCE is verplicht voor publieke clients, en toegangstokens zijn korte JWT's die je app lokaal scant tegen onze gepubliceerde sleutels.

Is er een gratis plan?

Ja. De eerste 100 accounts zijn gratis, voor altijd — geen proefperiode die afloopt. Dat dekt een kleine webapp, een intern systeem of een pilot. Boven de 100 accounts beginnen de betaalde plannen bij €19 per maand, en elk betaald plan begint met een gratis proefperiode van 14 dagen, zonder betaalkaart.

Hoe zit het met de veiligheid?

De identity provider is een eigen applicatie met een eigen vertrouwensgrens. Wachtwoorden worden gehasht met scrypt en expliciete, opwaardeerbare parameters. Refreshtokens roteren met lekdetectie: een hergebruikte token trekt zijn hele familie in. Autorisatiecodes zijn eenmalig en vervallen na zestig seconden. Redirect-URI's worden exact vergeleken, component voor component. Teams zijn op databaseniveau van elkaar gescheiden, niet alleen in code. Tweefactorauthenticatie (TOTP, backup-codes, passkeys) en magic links zitten in elk plan.

Waar staat de identiteitsdata?

In de EU, net als alles bij Maillog. Wachtwoordhashes, ondertekensleutels (versleuteld opgeslagen) en het logboek blijven op onze Europese infrastructuur. Het logboek noteert gebeurtenissen met gehashte IP-adressen — nooit rauwe waarden — en codes, tokens en wachtwoorden komen nooit in een logboek terecht.

Werkt het ook voor mensen die met Google of Microsoft inloggen?

Ja. Google, Microsoft, Apple en Facebook kunnen als inlogmethode worden aangezet. Accounts worden gekoppeld op de stabiele identificator van de aanbieder, nooit op e-mailadres alleen, en ontkoppelen wordt geweigerd als het account zonder inlogmethode achterblijft.

Wat gebeurt er met de gegevens van mijn gebruikers als ik wegga?

Accounts, toestemmingen en het logboek zijn van jouw team. Je kunt ze via de API exporteren, applicaties op elk moment uitzetten (waarmee al hun tokens intrekken) en accounts verwijderen. Bij het verwijderen van een account blijft post in de mailbox van jouw team: de mail is van jou, niet van de gebruiker.