Programma voor het melden van kwetsbaarheden
Programma voor het openbaar maken van kwetsbaarheden
Bij Pandectes nemen we de beveiliging en privacy van onze gebruikers, partners en gegevens serieus. We zetten ons in voor een veilige omgeving en verwelkomen meldingen van beveiligingsonderzoekers en de bredere community die ons helpen dat doel te bereiken.
Denk je een beveiligingslek te hebben ontdekt in onze systemen, diensten of applicaties, dan vragen we je dat op een verantwoorde manier te melden.
Zo meld je een kwetsbaarheid
Stuur je melding naar:
Vermeld in je melding de volgende informatie:
- Een gedetailleerde beschrijving van de kwetsbaarheid
- Stappen om het probleem te reproduceren (indien van toepassing)
- Relevante URL’s, screenshots of codefragmenten
- Je naam of alias (optioneel), zodat we je kunnen vermelden
Wat we van jou verwachten
- Maak geen misbruik van de kwetsbaarheid en open geen gegevens verder dan nodig is om het probleem aan te tonen.
- Vermijd acties die de integriteit of beschikbaarheid van onze diensten kunnen schaden (bijvoorbeeld DoS of massaal scannen).
- Geef ons redelijk de tijd om het probleem te onderzoeken en op te lossen voordat je het openbaar maakt.
- Handel tijdens het hele meldingsproces te goeder trouw.
Wat je van ons kunt verwachten
- We bevestigen je melding snel.
- We onderzoeken het probleem en werken eraan om het zo snel mogelijk op te lossen.
- Als je dat wilt en het passend is, vermelden we je bijdrage publiekelijk.
- We ondernemen geen juridische stappen tegen onderzoekers die dit beleid voor verantwoorde openbaarmaking te goeder trouw volgen.
Termijnen voor bevestiging en herstel
Bevestiging:
- We bevestigen elke melding van een kwetsbaarheid binnen 48 uur na ontvangst.
Herstel:
- Kritieke kwetsbaarheden: ons doel is herstel binnen 30 dagen na verificatie.
- Kwetsbaarheden met hoge ernst: we streven ernaar deze binnen 45 dagen op te lossen, via een versneld proces.
- Kwetsbaarheden met gemiddelde en lage ernst: deze pakken we aan als onderdeel van onze reguliere releasecyclus.
Buiten de reikwijdte
We waarderen alle feedback over beveiliging, maar het volgende valt doorgaans buiten de reikwijdte van dit programma:
- Spam of aanvallen via social engineering
- Zorgen over rate limiting of brute force zonder duidelijk risico op misbruik
- Ontbrekende beveiligingsheaders die geen directe gevolgen hebben
- Problemen op platforms of diensten van derden waar Pandectes geen controle over heeft
Onze inzet voor beveiliging
Beveiliging is een gedeelde verantwoordelijkheid. We waarderen je hulp om Pandectes en onze gebruikers veilig te houden.