Responsible Disclosure

Scope

Dit beleid is van toepassing op de volgende domeinen en systemen:

• easeo.nl
• aldewereldconsultancy.nl
• cloud.aldewereldconsultancy.nl
• internalhost.eu

Kwetsbaarheden in systemen die niet in bovenstaande lijst staan vallen buiten de scope van dit beleid.

Wat wij van u verwachten

Als u een beveiligingsprobleem ontdekt, vragen wij u het volgende:

• Meld de kwetsbaarheid zo snel mogelijk via security@easeo.nl.
• Beschrijf het probleem helder en met voldoende detail zodat wij het kunnen reproduceren.
• Maak geen misbruik van de kwetsbaarheid. Voer geen acties uit die verder gaan dan nodig is om het probleem aan te tonen.
• Installeer geen backdoors, wijzig geen data en verwijder geen gegevens.
• Exfiltreer geen gegevens. Als u per ongeluk toegang krijgt tot persoonsgegevens of vertrouwelijke informatie, stop dan onmiddellijk en meld dit.
• Voer geen aanvallen uit die de beschikbaarheid van onze diensten aantasten (denial of service, brute force, social engineering, spam).
• Deel de kwetsbaarheid niet met derden totdat deze is verholpen en wij toestemming hebben gegeven voor publicatie.
• Geef ons een redelijke termijn om het probleem op te lossen voordat u eventueel publiceert. Wij hanteren als richtlijn 90 dagen na melding.

Wat wij beloven

• Wij bevestigen de ontvangst van uw melding binnen 5 werkdagen.
• Wij houden u op de hoogte van de voortgang van het oplossen van de kwetsbaarheid.
• Wij lossen beveiligingsproblemen zo snel mogelijk op, afhankelijk van de complexiteit en ernst.
• Wij ondernemen geen juridische stappen tegen u als u handelt in overeenstemming met dit beleid.
• Wij behandelen uw melding vertrouwelijk en delen uw persoonsgegevens niet met derden zonder uw toestemming, tenzij wij daartoe wettelijk verplicht zijn.
• Wij vermelden u graag als ontdekker van de kwetsbaarheid (tenzij u anoniem wilt blijven).

Geen bug bounty

EASEO biedt op dit moment geen financiele beloning voor het melden van kwetsbaarheden. Wij waarderen uw inzet en bieden erkenning aan onderzoekers die verantwoord melden.

Buiten scope

De volgende bevindingen vallen in principe buiten de scope van dit beleid:

• Bevindingen uit geautomatiseerde scans zonder handmatige verificatie.
• Ontbrekende HTTP-headers die geen direct beveiligingsrisico vormen.
• SPF/DKIM/DMARC-configuratieproblemen zonder aangetoonde impact.
• Clickjacking op pagina's zonder gevoelige acties.
• Rate limiting op niet-authenticatie endpoints.
• Kwetsbaarheden in software van derden waarvoor al een patch beschikbaar is.

Contact

Meld beveiligingsproblemen uitsluitend via security@easeo.nl. Vermeld in uw e-mail:

• Een beschrijving van de kwetsbaarheid.
• Stappen om het probleem te reproduceren.
• Eventuele screenshots of proof-of-concept code.
• Het getroffen domein of systeem.

Versleutel uw e-mail indien mogelijk. Neem contact op voor onze PGP-sleutel.