Kwetsbaarheid melden
Concept Deze tekst is nog niet juridisch getoetst en kan nog veranderen.
Versie [DATUM]. Vind je een zwakke plek in Klopt, meld die dan bij ons. We werken graag met je samen om hem op te lossen voordat iemand er misbruik van maakt.
Zo meld je
- Mail naar [SECURITY E-MAILADRES], [EVENTUEEL: versleuteld met onze PGP-sleutel].
- Beschrijf het probleem en hoe we het kunnen nabootsen, met de betrokken URL of het onderdeel.
- Laat contactgegevens achter, zodat we je kunnen bijpraten. Anoniem melden mag ook.
We publiceren deze afspraken ook in /.well-known/security.txt op identificatie.online.
Wat we van je vragen
- Doe niet meer dan nodig is om de kwetsbaarheid aan te tonen.
- Bekijk, kopieer, wijzig of verwijder geen gegevens van anderen. Stuit je op persoonsgegevens, stop dan en meld het ons.
- Gebruik geen echte identiteitsbewijzen van anderen en maak geen verificatieverzoeken aan namens organisaties.
- Voer geen aanvallen uit die de dienst verstoren, zoals overbelasting, en gebruik geen social engineering of fysieke toegang.
- Deel de kwetsbaarheid met niemand anders totdat we hem hebben opgelost.
Wat je van ons kunt verwachten
| Wanneer | Wat |
|---|---|
| Binnen [3] werkdagen | Bevestiging van je melding |
| Binnen [10] werkdagen | Onze beoordeling en een verwachte datum voor de oplossing |
| Na de oplossing | Bericht dat het is opgelost; met je toestemming noemen we je naam |
Houd je je aan deze afspraken, dan doen we geen aangifte en starten we geen juridische stappen tegen je. We streven ernaar kwetsbaarheden binnen 90 dagen op te lossen. [EVENTUEEL: als dank bieden we een beloning, afhankelijk van de ernst.]
Buiten scope
- Meldingen zonder aantoonbaar risico, zoals ontbrekende headers zonder gevolg of versies van software.
- Kwetsbaarheden in systemen van onze leveranciers; meld die bij de leverancier zelf.
- De software van partners die Klopt gebruiken.