Een beveiligingsprobleem melden

1. Hoe u meldt

Mail [email protected]. Schrijf in het Nederlands of Engels. Vermeld graag:

• wat u vond en waar (URL, endpoint, functie);
• de stappen om het te reproduceren;
• wat een aanvaller ermee kan doen;
• hoe wij u kunnen bereiken.

Gebruik dit adres ook om een beveiligingsincident te melden dat u opmerkte, zoals een uitgelekt wachtwoord of een galerijlink die gedeeld is waar dat niet hoort.

2. Wat u van ons mag verwachten

• Wij bevestigen uw melding binnen 3 werkdagen.
• Binnen 10 werkdagen sturen wij een update met onze beoordeling.
• Kritieke problemen lossen wij zo snel mogelijk op, andere binnen 90 dagen.
• Wij melden u wanneer het is opgelost en spreken met u af wanneer de details openbaar mogen worden. Standaard is dat na het herstel, of 90 dagen na uw melding.
• Met uw toestemming noemen wij u op onze bedankpagina. Er is geen bugbountyprogramma.

3. Wij vragen u

• Gebruik alleen eigen testaccounts. Open, wijzig of verwijder geen gegevens van anderen. Komt u persoonsgegevens tegen, stop dan en vertel ons wat u zag.
• Voer geen denial-of-service-aanvallen, spam, social engineering of fysieke aanvallen uit.
• Test de diensten van onze subverwerkers (zoals Cloudflare of Stripe) niet. Meld daar rechtstreeks.
• Geef ons redelijke tijd om het probleem op te lossen voordat u het deelt.

4. Onze belofte

Houdt u zich aan deze regels en handelt u te goeder trouw, dan nemen wij geen juridische stappen tegen u, doen wij geen aangifte en behandelen wij uw melding vertrouwelijk.

5. Buiten bereik

• Meldingen van geautomatiseerde scanners zonder aangetoond effect.
• Ontbrekende beveiligingsheaders of best practices zonder een aanval die ze benut.
• Clickjacking op pagina's zonder gevoelige acties.
• Problemen waarvoor een gecompromitteerd apparaat of een gecompromitteerde browser nodig is.
• Rate limits op niet-gevoelige formulieren.