Codekeeper vs. Escrow4all: wat zegt een featurelijst eigenlijk over echte continuïteit?

Codekeeper publiceerde onlangs een vergelijking tussen Codekeeper en Escrow4all. Daarin scoort Codekeeper zichzelf vanzelfsprekend sterk op onderwerpen als transparante pricing, het aantal integraties, dagelijkse synchronisatie, self-service en snelheid van onboarding. Dat zijn relevante eigenschappen. Maar het roept ook een fundamentelere vraag op:

Vergelijk je een escrowprovider op hoe makkelijk je een account kunt openen, of op de zekerheid dat jouw organisatie daadwerkelijk kan blijven functioneren wanneer een kritieke leverancier uitvalt?

Voor eenvoudige Software Escrow kan automatisering belangrijk zijn.

Voor bedrijfskritische software, binnen bijvoorbeeld gereguleerde organisaties zou de lat aanzienlijk hoger moeten liggen. Zodra je de vergelijking vanuit dát perspectief maakt, ontstaat een ander beeld.

Eerst iets over de vergelijking zelf

De vergelijking is gepubliceerd door Codekeeper en heeft dus vanzelfsprekend een commerciële invalshoek. Dat is op zichzelf niet verkeerd. Ook Escrow4all communiceert vanuit zijn eigen visie op escrow.

Maar selectiecriteria bepalen voor een groot deel wie een vergelijking “wint”.

Codekeeper legt in zijn artikel bijvoorbeeld veel gewicht op:

• gepubliceerde abonnementsprijzen;
• 50+ technische integraties;
• dagelijkse deposits;
• self-service contractering;
• storagecapaciteit;
• dashboards;
• certificaten;
• snelheid van onboarding.

Dat zijn vooral kenmerken van een softwareplatform. Voor organisaties die afhankelijk zijn van bedrijfskritische technologie zouden wij andere vragen eerst stellen:

• Is de escrow-agent werkelijk onafhankelijk?
• Is juridisch vooraf geregeld wat er bij uitval gebeurt?
• Is niet alleen vastgesteld dát er bestanden zijn, maar ook dat de applicatie kan worden opgebouwd?
• Is de productieomgeving meegenomen?
• Wat gebeurt er met hosting en live data?
• Kan een regeling worden aangepast aan een complexe leveranciersketen?
• Kan dezelfde escrowpartner Software, SaaS én Data Escrow ondersteunen?
• Is er aantoonbare ervaring met complexe en gereguleerde omgevingen?

Dat zijn geen details. Dat is escrow.

De conclusie wordt daarmee genuanceerder:

1. “Niet gespecificeerd” betekent niet “niet aanwezig”

Een opvallend onderdeel van de Codekeeper-vergelijking is dat verschillende eigenschappen van Escrow4all als een kruisje of “not specified” worden weergegeven.

Bijvoorbeeld bij storage, release processing, recovery support en pricing.

Maar:

Niet publiek gespecificeerd is iets anders dan niet beschikbaar.

Dat is een belangrijk onderscheid. Escrow4all kiest bewust voor het bepalen van de regeling vanuit de businesscase. Op de eigen Software Escrow-pagina beschrijft Escrow4all een proces van analyse, advies en uitvoering en ondersteunt het automatische koppelingen met onder andere GitHub, GitLab, Bitbucket, Azure DevOps en AWS CodeCommit. Voor een eenvoudige, gestandaardiseerde escrow kan een vaste abonnementsprijs handig zijn.

Voor een kritieke ERP-, core banking-, logistieke of sectorspecifieke applicatie kan het juist onverstandig zijn om de continuïteitsregeling te reduceren tot: “Kies een pakket en voer je creditcard in.” De relevante vraag is immers niet hoeveel storage je krijgt.

De relevante vraag is:

Wat moet er worden veiliggesteld om deze specifieke organisatie na leveranciersuitval daadwerkelijk operationeel te houden?

2. Escrow is geen opslagproduct

Codekeeper besteedt in de vergelijking veel aandacht aan storagecapaciteit: 1 TB inbegrepen, uitbreidbaar naar 5 TB en verder. Maar de waarde van escrow wordt niet bepaald door het aantal terabytes. Een incompleet depot van 1 TB is waardeloos.

Een technisch compleet depot van enkele gigabytes kan bedrijfskritisch zijn.

Daarom legt Escrow4all de nadruk niet primair op hoeveel data in een vault past, maar op:

• welke componenten noodzakelijk zijn;
• of deze daadwerkelijk aanwezig zijn;
• of ze actueel zijn;
• of ze bruikbaar zijn;
• of de software opnieuw gebouwd kan worden;
• en of de gebruiker juridisch gerechtigd is deze te gebruiken wanneer het erop aankomt.

Dat is een fundamenteel andere filosofie.

Storage is infrastructuur. Escrow is continuïteitsborging.

3. VerifOne: verificatie is onderdeel van de dienstverlening

Codekeeper stelt dat zijn gratis “Validated” verificatie een belangrijk voordeel is.

Escrow4all gaat echter structureel verder dan alleen het ontvangen van een depot.

Bij Software Escrow wordt VerifOne uitgevoerd op ieder escrowdepot. Daarbij wordt onder meer gecontroleerd op leesbaarheid, virussen, decompressie/decryptie, aanwezigheid van source code en documentatie.

Daarbovenop zijn er twee uitgebreidere niveaus.

• VerifTwo

Daarbij wordt:

• de developmentomgeving geanalyseerd;
• de source code gecompileerd;
• de applicatie gedeployed;
• de applicatie getest;
• en worden de resultaten gerapporteerd.
• VerifThree

Hier wordt niet vertrouwd op de bestaande developmentomgeving.

Escrow4all bouwt juist een nieuwe development- en testomgeving vanaf een clean system, compileert de gevalideerde source code, installeert de applicatie en test deze opnieuw.

Dat is een zeer relevant onderscheid.

Want de ultieme vraag bij escrow is niet “Hebben we bestanden?” maar:

“Kunnen we vanuit het depot opnieuw tot een werkende applicatie komen?”

Voor organisaties die escrow daadwerkelijk als continuïteitsmaatregel zien, is dat laatste veel belangrijker.

4. Een certificaat is geen continuïteit

Codekeeper legt veel nadruk op zijn Software Resilience Certificate en stelt dat dit bewijs richting auditors kan leveren.

Een goed verificatierapport of certificaat kan uiteraard nuttig zijn binnen governance en compliance. Maar een certificaat verandert de technische werkelijkheid niet.

Het belangrijkste bewijs is uiteindelijk:

• wat is gecontroleerd;
• hoe diep is gecontroleerd;
• welke omgeving is nagebouwd;
• is de source daadwerkelijk gecompileerd;
• is de applicatie gedeployed;
• en functioneerde deze?

Escrow4all levert daarvoor een inhoudelijk verificatierapport en kent verificaties die oplopen van een basiscontrole tot een volledige rebuild in een nieuw gecreëerde omgeving.

Voor een CIO, CISO of riskmanager is de inhoud van die toets belangrijker dan het label dat aan het rapport wordt gehangen.

5. SaaS Escrow: continuïteit is meer dan een kopie van de cloudstack

Dit is een van de belangrijkste verschillen. Bij SaaS zit het continuïteitsrisico niet alleen in source code. De applicatie draait ergens. Er zijn hostingproviders, credentials, databases, URL’s, operationele processen, user data en derde partijen nodig.

Escrow4all heeft zijn SaaS Escrow juist rondom dat probleem ontwikkeld.

De regeling is gericht op ononderbroken toegang tot zowel de webapplicatie als gebruikersdata wanneer de SaaS-provider uitvalt. Escrow4all betrekt daarbij expliciet de hosting- of managed-servicespartij in de regeling.

In de SaaS-whitepaper omschrijft Escrow4all het doel helder: gebruikers moeten bij uitval via dezelfde URL’s en credentials bij hun applicatie en data kunnen blijven, terwijl een stabiele overgangssituatie ontstaat voor bijvoorbeeld een doorstart, overname of migratie.

Dat is wezenlijk iets anders dan alleen assets gereedzetten om later opnieuw te deployen.

De beste SaaS Escrow-oplossing begint niet bij recovery. Hij begint bij het voorkomen dat de gebruiker operationeel stilvalt.

6. Data Escrow is geen bijzaak

Codekeeper stelt in zijn vergelijking dat Escrow4all’s portfolio “leans toward data and domain registry escrow”.

Dat kun je ook anders interpreteren. Het laat zien dat Escrow4all het continuïteitsvraagstuk breder benadert dan alleen softwarecode.

Moderne organisaties zijn immers minstens zo afhankelijk van:

• klantdata;
• transactiedata;
• operationele data;
• configuraties;
• databestanden;
• digitale registraties;
• en data die bij externe leveranciers staat.

Escrow4all biedt daarom een zelfstandige Data Escrow-oplossing waarbij bedrijfskritische data onafhankelijk wordt opgeslagen, actueel gehouden en juridisch geborgd. De dienstverlening wordt uitgevoerd binnen ISO 27001- en GDPR-kaders. Voor organisaties die nadenken over digitale continuïteit is dat geen afwijking van Software Escrow. Het is juist de logische volgende stap.

7. ICANN-erkenning: aantoonbare ervaring met kritieke data

Een belangrijk onderscheid dat in de Codekeeper-vergelijking maar beperkt waarde krijgt, is Registry Data Escrow. Escrow4all is een door ICANN erkende Data Escrow Agent en verzorgt Registry Data Escrow voor meer dan 400 top-level domains, goed voor meer dan 30 miljoen domeinregistraties die dagelijks worden gedeponeerd.

Dat is relevant omdat dergelijke dienstverlening structurele eisen stelt aan:

• datavalidatie;
• security;
• beschikbaarheid;
• procesbeheersing;
• compliance;
• monitoring;
• en onafhankelijkheid.

Het laat zien dat Escrow4all niet alleen een softwaredepot kan beheren, maar dagelijks op grote schaal bedrijfskritische digitale data verwerkt binnen een internationaal gereguleerd framework. Voor enterprise-organisaties is die ervaring een wezenlijke kwaliteitsindicator.

8. ISO 27001: kijk vooral naar de scope

Zowel Codekeeper als Escrow4all zijn ISO 27001-gecertificeerd. Dus alleen het logo “ISO 27001” zegt weinig over het onderscheid. Waar je als inkoper wél naar moet kijken, is de certificeringsscope.

Escrow4all vermeldt expliciet dat de ISO/IEC 27001:2022-certificering niet beperkt is tot één platform of onderdeel, maar de gehele organisatie en ieder component van de escrowdienstverlening omvat. Escrow4all heeft deze certificering bovendien al sinds 2013.

Dat is voor enterprise procurement, legal en risk relevant. Je koopt namelijk niet alleen software. Je vertrouwt een organisatie kritieke broncode, data, contracten, procedures en releaseverantwoordelijkheden toe.

9. Vijftien jaar escrowervaring versus platformfeatures

Technologie verandert snel. Maar escrow kent ook een juridische en operationele kant waarbij ervaring zwaar weegt. Escrow4all bestaat sinds 2009 en rapporteert inmiddels meer dan 3.000 klanten wereldwijd. In 2024 meldde de organisatie dat zij voor meer dan 400 softwareleveranciers en ruim 3.000 beneficiaries werkte.

Dat betekent ervaring met:

• leveranciers;
• eindgebruikers;
• complexe contracten;
• verificaties;
• releases;
• SaaS-constructies;
• enterprise procurement;
• gereguleerde organisaties;
• en internationale continuity-vraagstukken.

Een lijst met vijftig integraties is nuttig.

Maar wanneer een leverancier daadwerkelijk wegvalt, wordt escrow ineens geen softwarefeature meer. Dan heb je behoefte aan een trusted third party die dit proces vaker heeft ingericht en weet wat juridisch, technisch en operationeel nodig is.

10. Maatwerk is niet ouderwets. Soms is het juist risicomanagement.

Codekeeper beschrijft de consultative aanpak van Escrow4all als een meer traditionele route, tegenover zijn eigen self-service model. Voor simpele toepassingen kan self-service absoluut prettig zijn. Maar voor bedrijfskritische escrow is maatwerk niet automatisch een nadeel.

Stel dat jouw applicatie afhankelijk is van:

• een externe hostingpartij;
• proprietary databases;
• specifieke middleware;
• licenties;
• drie subcontractors;
• private cloudinfrastructuur;
• API-koppelingen;
• meerdere landen;
• klantdata;
• en afwijkende releasevoorwaarden.

Dan wil je niet noodzakelijk een standaard escrowpakket. Dan wil je dat iemand eerst begrijpt: Wat moet hier precies geborgd worden om continuïteit realistisch mogelijk te maken? Dat is waarom Escrow4all zijn proces begint met analyse en advies voordat de regeling wordt ingericht. Voor enterprise-organisaties is dat geen frictie. Dat is due diligence.

Waar Codekeeper duidelijk sterk in is:

Een eerlijke vergelijking betekent ook benoemen waar Codekeeper sterk scoort.

Codekeeper is aantrekkelijk wanneer je vooral waarde hecht aan:

• directe online pricing;
• self-service;
• veel standaardintegraties;
• dagelijkse automatische repository-sync;
• duidelijke abonnementsstructuren;
• dashboardgestuurde inrichting;
• snelle onboarding.

Voor developers, scale-ups en organisaties met relatief gestandaardiseerde escrowbehoeften kan dat een prima fit zijn.

Maar daarmee is Codekeeper nog niet automatisch de sterkere escrowpartner voor complexe business continuity.

Waar Escrow4all sterker scoort

Wanneer de selectiecriteria verschuiven van platformfeatures naar aantoonbare continuïteit, ontstaat een ander beeld. Escrow4all onderscheidt zich vooral door de combinatie van:

Onafhankelijke trusted third partner Escrow is de corebusiness en wordt ingericht rond de belangen van leverancier én gebruiker.

Actieve verificatie
Ieder Software Escrow-depot krijgt VerifOne, met VerifTwo en VerifThree voor veel diepgaandere technische zekerheid.

Volwaardige SaaS-continuïteit
Niet alleen source code beschikbaar stellen, maar de operationele productieomgeving en hostingrelaties meenemen in de continuïteitsconstructie.

Zelfstandige Data Escrow
Voor organisaties waarbij toegang tot data minstens zo bedrijfskritisch is als toegang tot

software.

ICANN Registry Data Escrow
Erkende ervaring met internationaal gereguleerde datadeposits op grote schaal.

Volledige ISO 27001-scope Certificering van de organisatie én de escrowdienstverlening.

15+ jaar ervaring

Met duizenden klanten, honderden softwarevendors en uiteenlopende complexe continuïteitsvraagstukken.

Dus: Codekeeper of Escrow4all?

Dat hangt af van de vraag die je stelt.

Als de vraag is:

“Welke escrowprovider kan ik snel online configureren, heeft veel integraties en toont direct een maandprijs?” dan heeft Codekeeper een sterke propositie.

Maar wanneer de vraag is:

“Welke partij helpt ons juridisch, technisch én operationeel aantoonbaar voorbereiden op de uitval van een kritieke software-, SaaS- of dataleverancier?”

dan verschuift het voordeel duidelijk richting Escrow4all.

Zeker wanneer:

• de applicatie bedrijfskritisch is;
• SaaS daadwerkelijk beschikbaar moet blijven;
• data onderdeel van het continuïteitsrisico is;
• meerdere leveranciers betrokken zijn;
• compliance aantoonbaar moet worden gemaakt;
• technische verificatie verder moet gaan dan bestandscontrole;
• of de regeling onderdeel vormt van vendor risk management.

Conclusie: vergelijk niet wie de meeste vinkjes heeft

Een featurematrix ziet er overzichtelijk uit. Maar escrow is geen wedstrijd in het aantal integrations, terabytes of dashboardfuncties.

Wanneer het erop aankomt, zijn er eigenlijk maar drie vragen:

1. Hebben we alles wat nodig is?

Niet alleen een repository, maar alle relevante code, documentatie, configuraties, data en afhankelijkheden.

2.Weten we dat het werkt?

Niet alleen omdat bestanden aanwezig zijn, maar omdat ze technisch zijn gevalideerd, gebouwd, gedeployed en waar nodig volledig opnieuw getest.

3. Kunnen we daadwerkelijk doorgaan?

Omdat contracten, rechten, hosting, data, releasevoorwaarden en operationele afspraken vooraf zijn ingericht. Daar ligt het verschil.

Codekeeper is een sterk escrowplatform. Escrow4all is een specialist in Digital Continuity.

Voor organisaties die alleen gemak zoeken, kan dat eerste voldoende zijn. Voor organisaties waarvan de bedrijfsvoering afhankelijk is van software, SaaS en data, is het tweede uiteindelijk belangrijker.

Escrow4all,  to be sure.