legal

Verantwoorde openbaarmaking

Bij mave.io heeft de beveiliging van onze systemen de hoogste prioriteit. Hoeveel aandacht we ook aan systeembeveiliging besteden, er kunnen altijd kwetsbaarheden aanwezig zijn.

Ontdek je een kwetsbaarheid, dan horen we dat graag zodat we deze zo snel mogelijk kunnen verhelpen. We vragen je ons te helpen onze klanten en systemen beter te beschermen.

Doe het volgende:

• E-mail je bevindingen naar [email protected]. Versleutel ze met onze PGP-sleutel om te voorkomen dat deze kritieke informatie in verkeerde handen valt,
• Maak geen misbruik van de kwetsbaarheid of het probleem dat je hebt ontdekt. Download bijvoorbeeld niet meer gegevens dan nodig is om de kwetsbaarheid aan te tonen en verwijder of wijzig geen gegevens van anderen,
• Onthul het probleem niet aan anderen totdat het is opgelost,
• Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial-of-service, spam of applicaties van derden, en
• Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal zijn het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid voldoende, maar complexe kwetsbaarheden kunnen extra uitleg vereisen.

Wat we beloven:

• Bij meldingen met hoge prioriteit reageren we binnen 10 werkdagen met onze beoordeling en een verwachte oplosdatum. Voor meldingen met gemiddelde prioriteit is dit binnen 20 werkdagen en voor meldingen met lage prioriteit binnen 30 werkdagen.
• Als je de bovenstaande instructies hebt gevolgd, ondernemen we naar aanleiding van je melding geen juridische stappen tegen je,
• We behandelen je melding strikt vertrouwelijk en delen je persoonsgegevens zonder jouw toestemming niet met derden,
• We houden je op de hoogte van de voortgang bij het oplossen van het probleem,
• In openbare informatie over het gemelde probleem vermelden we je naam als ontdekker, tenzij je dat niet wilt, en
• Als dank voor je hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat nog niet bij ons bekend was. De hoogte hangt af van de ernst van het lek en de kwaliteit van de melding. Als we de melding geldig vinden, is de minimale beloning een cadeaubon van €10.
• We streven ernaar om alle problemen zo snel mogelijk op te lossen, en we willen graag een actieve rol spelen in de uiteindelijke publicatie over het probleem nadat het is opgelost.

Uitgesloten soorten veiligheidsproblemen:

• SPF / DMARC records
• (D)DoS-aanvallen en rate limiting van requests
• Problemen die neerkomen op zelf-XSS
• Foutmeldingen zonder gevoelige gegevens
• Meldingen waaruit kan worden afgeleid welke software we gebruiken
• Problemen waarvoor sterk verouderde besturingssystemen, browsers of plug-ins nodig zijn
• Problemen die al zijn gemeld door kwetsbaarheidsscanners zoals Dependabot en Snyk
• Problemen die ons al bekend zijn
• Onze marketingwebsite (https://mave.io)

Dit beleid voor verantwoorde openbaarmaking is gebaseerd op een template van Floor Terra.