Beleid voor verantwoorde openbaarmaking

Een dienst die geld verplaatst wordt altijd op de proef gesteld, door goedbedoelende mensen of anderen. Wij vernemen een fout liever uit een rapport dan uit een incident, en wij verbinden ons ertoe niemand te vervolgen voor onderzoek dat te goeder trouw is uitgevoerd binnen de hier beschreven reikwijdte.

Er wordt in dit stadium geen financiële beloning aangeboden. Wij kondigen geen premieprogramma aan dat wij niet zouden kunnen nakomen. Wat wij concreet bieden: een snelle bevestiging, een technisch aanspreekpunt, opvolging tot aan de oplossing, en publieke erkenning als u dat wenst.

Binnen de reikwijdte

• De openbare website en de bijbehorende applicatiepagina's.
• Openbaar toegankelijke eindpunten van de programmeerinterface.
• Authenticatie-, sessie- en wachtwoordherstelmechanismen.
• Elke fout die leidt tot het lezen, wijzigen of omleiden van gegevens van een andere gebruiker.
• Elke fout die het mogelijk maakt een bedrag, een begunstigde, een koers of een orderstatus te wijzigen.
• Configuratiefouten die een geheim, een back-up of een interne omgeving blootleggen.

Buiten de reikwijdte

• De eigen diensten van onze leveranciers: meld die rechtstreeks bij de betreffende uitgever, die een eigen programma beheert.
• Rapporten die zijn gegenereerd door een geautomatiseerde scanner zonder bewijs van exploitatie.
• Header- of configuratiebevindingen zonder aangetoond effect – een ontbrekende aanbevolen header, een cookie zonder attribuut op openbare inhoud.
• Social engineering gericht op ons personeel, onze leveranciers of onze gebruikers.
• Denial of service, overbelasting en belastingstests, in welke vorm dan ook.
• Kwetsbaarheden die fysieke toegang tot een reeds gecompromitteerd apparaat vereisen.

Deze regels zijn geen formaliteiten: zij bepalen precies wat onder onze toezegging blijft vallen om niet te vervolgen.

1. Gebruik alleen uw eigen accounts en uw eigen gegevens. Maak een tweede account aan als u de isolatie tussen gebruikers moet testen.
2. Stop zodra de toegang is aangetoond. Lees, kopieer of exfiltreer geen gegevens van derden.
3. Degradeer de dienst niet: geen overbelasting, geen verwijdering, geen wijziging van productiegegevens anders dan die van uzelf.
4. Maak de fout niet openbaar voordat deze is verholpen, of voordat de door ons gezamenlijk overeengekomen termijn is verstreken.
5. Als u onbedoeld persoonsgegevens bereikt, stop dan onmiddellijk, bewaar ze niet en vermeld dit in uw rapport.

Een nuttig rapport bevat vijf elementen: het getroffen onderdeel, de werkelijke impact, reproductiestappen, een minimaal bewijsstuk en de tijdstempels van uw tests. De rest is comfort.

Neem nooit persoonsgegevens van derden, een echte identificatiecode of een volledig geheim op in een rapport. Een gedeeltelijk geredigeerde opname is voldoende om toegang aan te tonen.

U ontvangt vervolgens minstens om de twee weken een statusupdate tot aan de afsluiting, zelfs wanneer er niets nieuws te melden is. Stilte is wat een onderzoeker ertoe aanzet om te publiceren: die willen we liever vermijden.

• We bevestigen de oplossing en laten u deze verifiëren vóór enige afsluiting.
• We publiceren een incidentmelding wanneer het lek gegevens had kunnen blootstellen, zelfs als er geen misbruik wordt gevonden.
• We vermelden u publiekelijk als u dat wilt, onder de naam of gebruikersnaam van uw keuze, of helemaal niet als u anonimiteit verkiest.
• We spreken een publicatiedatum met u af als u uw eigen analyse wilt schrijven.