Responsible Disclosure
Bij 10KB vinden we de veiligheid van onze software en systemen belangrijk. Ondanks onze zorg voor beveiliging kan het voorkomen dat er toch een zwakke plek is. Als je een kwetsbaarheid ontdekt, horen we dat graag zo snel mogelijk, zodat we maatregelen kunnen nemen. We werken graag met je samen om onze gebruikers en systemen beter te beschermen.
Wat we van je vragen
Je kunt ook bellen op 0246690518.
- Mail je bevindingen zo snel mogelijk naar info@10kb.nl, met voldoende informatie om het probleem te reproduceren zodat we het kunnen oplossen.
- Misbruik de kwetsbaarheid niet verder dan noodzakelijk is om deze aan te tonen.
- Deel de kwetsbaarheid niet met anderen totdat deze is opgelost.
- Maak geen gebruik van aanvallen op fysieke beveiliging, social engineering, distributed denial-of-service (DDoS), spam of applicaties van derden.
- Verander of verwijder geen gegevens en breng geen wijzigingen aan in de systemen.
- Wees terughoudend met het benaderen van persoonsgegevens van anderen.
Wat we beloven
- We reageren binnen vijf werkdagen op je melding met een eerste inschatting en een verwachte datum voor een oplossing.
- We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder jouw toestemming met derden, tenzij dit wettelijk verplicht is.
- We houden je op de hoogte van de voortgang van het oplossen van de kwetsbaarheid.
- Als je je aan bovenstaande voorwaarden houdt, ondernemen we geen juridische stappen naar aanleiding van de melding.
- We vermelden, als je dat wilt, je naam als ontdekker van de gemelde kwetsbaarheid.
Wat valt buiten scope
Meldingen over de volgende zaken nemen we doorgaans niet in behandeling, omdat ze op zichzelf geen direct beveiligingsrisico vormen:
- Het ontbreken van best practices zonder aantoonbaar misbruik (zoals ontbrekende security headers of SPF/DKIM/DMARC-instellingen).
- Kwetsbaarheden die alleen werken in sterk verouderde browsers of besturingssystemen.
- Rapporten uit geautomatiseerde scanners zonder onderbouwing van de impact.
Twijfel je of je melding binnen de Woordenboek · In het kortscopeDe scope is de afbakening van een project of opdracht: welke doelen, werkzaamheden en resultaten er wel en niet onder vallen.Lees meer valt? Stuur hem dan toch in, dan kijken we er graag naar.
Tot slot
Dit responsible disclosure beleid is geen uitnodiging om actief en uitgebreid onze systemen te scannen op kwetsbaarheden. We Woordenboek · In het kortmonitoringMonitoring is het systematisch volgen van software, infrastructuur of processen met meetwaarden en controles. Wijkt een waarde af, dan kan het systeem een waarschuwing geven, zodat een beheerder het probleem kan onderzoeken.Lees meer onze systemen zelf, waardoor de kans groot is dat een scan wordt opgepikt en onderzocht, met onnodige kosten als gevolg. We danken je hartelijk voor je bijdrage aan een veiliger 10KB.