Kwetsbaarheid melden

Waar dit beleid voor geldt

Binnen dit beleid

• anonify.nl, ook www.anonify.nl.
• app.anonify.nl.

Buiten dit beleid

• Test-, staging- en demo-omgevingen, zoals app3.anonify.nl.
• Systemen van derde partijen, zoals Cloudflare, Hetzner, Stripe en Calendly. Meld een kwetsbaarheid daar bij de leverancier zelf.
• Systemen van klanten.
• Social engineering.
• Bevindingen waarvoor fysieke toegang nodig is.
• Volumetrische denial-of-serviceaanvallen.
• Ontbrekende best-practice-headers zonder aantoonbaar effect. Wij kunnen deze met lage prioriteit behandelen.

Spelregels

Wij vragen u zich aan deze regels te houden.

• Doe alleen wat nodig is om het probleem aan te tonen.
• Open, kopieer, wijzig of verwijder geen gegevens, behalve wat u nodig heeft als bewijs.
• Open nooit gegevens of documenten van andere klanten of andere werkruimtes.
• Ziet u per ongeluk persoonsgegevens of klantdocumenten? Stop dan, bewaar of deel ze niet en meld dit in uw melding.
• Voer geen denial-of-service- of belastingtests uit.
• Gebruik geen social engineering, zoals phishing of telefoontjes, en geen fysieke aanvallen.
• Gebruik geen brute force.
• Plaats geen malware of backdoors en maak geen blijvende wijzigingen.
• Gebruik de kwetsbaarheid niet verder dan nodig is en deel deze met niemand voordat ze is verholpen.
• Zet geen echte persoonsgegevens in uw melding.
• Gebruik waar mogelijk testaccounts.

Hoe meldt u een kwetsbaarheid

Stuur een e-mail met als onderwerp “Kwetsbaarheid” naar:

info@anonify.nl

Neem in uw melding op:

• wat u heeft gevonden;
• de betrokken URL of host;
• de stappen om het probleem na te bootsen;
• het effect, zoals u dat ziet;
• hoe wij u kunnen bereiken.

U mag anoniem melden.

Wij hebben nog geen PGP-sleutel. Stuur in de eerste e-mail daarom geen gevoelige details, zoals een werkende exploit met echte gegevens. Wij spreken dan met u een veilige manier af om die te delen.

Wat wij doen

• Wij bevestigen uw melding binnen 3 werkdagen.
• Wij houden u op de hoogte van de voortgang. Samen met u spreken wij een redelijke termijn af voor de oplossing en voor openbaarmaking.
• Wij behandelen uw melding vertrouwelijk. Wij delen uw persoonsgegevens niet met derden zonder uw toestemming, tenzij de wet dit vereist.
• Wij maken een kwetsbaarheid alleen in overleg met u openbaar.
• Als u dat wilt, noemen wij na de oplossing uw naam als melder. Dat doen wij alleen met uw toestemming.

Geen juridische stappen

Handelt u te goeder trouw en houdt u zich aan deze regels? Dan doen wij geen aangifte en nemen wij geen juridische stappen tegen u vanwege uw melding.

Dit geldt voor ons. Het bindt derden en het Openbaar Ministerie niet.

Geen beloning

Wij hebben geen betaald bugbountyprogramma en beloven geen financiële beloning.