Responsible Disclosure Policy

Bij Bringme nemen we de beveiliging en privacy van onze gebruikers en klanten ernstig. We geloven dat samenwerking met de gemeenschap van beveiligingsonderzoekers cruciaal is om mogelijke kwetsbaarheden in onze systemen en applicaties op te sporen en aan te pakken. We moedigen het verantwoord melden van ontdekte beveiligingsproblemen aan en waarderen de hulp van beveiligingsonderzoekers om een veilige omgeving voor iedereen te behouden. Deze Responsible Disclosure Policy beschrijft de richtlijnen om beveiligingskwetsbaarheden aan Bringme te melden.

Heb je een mogelijke beveiligingskwetsbaarheid ontdekt in een onderdeel dat van Bringme is? Dan vragen we je om de volgende richtlijnen te volgen:

• Verantwoorde melding: doe er alles aan om acties te vermijden die een negatieve impact kunnen hebben op onze systemen, gebruikers of klanten. Test alleen binnen de grenzen van je eigen account, en open, wijzig of bekijk geen gegevens die niet van jou zijn.

• Meld privé: bezorg je bevindingen zo snel mogelijk aan ons beveiligingsteam via ons daarvoor bestemde e-mailadres security@bringme.com. We raden aan om encryptie te gebruiken wanneer je gevoelige informatie doorgeeft.

• Geef gedetailleerde informatie: vermeld bij het melden van een beveiligingskwetsbaarheid alle relevante details, zodat we het probleem kunnen begrijpen en reproduceren. Denk aan de stappen om het probleem na te bootsen, proof-of-conceptcode en ander ondersteunend materiaal.

• Vertrouwelijkheid: we respecteren de privacy en veiligheid van beveiligingsonderzoekers. We delen geen persoonlijke informatie zonder uitdrukkelijke toestemming, tenzij de wet dat vereist. We vragen ook dat je geen details over de kwetsbaarheid bekendmaakt tot ze opgelost is en we je daar toestemming voor gegeven hebben.

• Reactietijd: ons beveiligingsteam doet er alles aan om de ontvangst van je melding snel te bevestigen en werkt zorgvuldig aan het onderzoeken en oplossen van het probleem. We streven ernaar je regelmatig op de hoogte te houden van de voortgang en werken met je samen om de oplossing te controleren en te valideren.

• Openbaarmaking: we waarderen het geduld van onderzoekers terwijl we gemelde kwetsbaarheden onderzoeken en oplossen. We vragen je om de kwetsbaarheid niet openbaar te maken.

• Wettelijk gedrag: we moedigen verantwoord en ethisch gedrag aan, in overeenstemming met de wet. Ontdek je een kwetsbaarheid, maak er dan om geen enkele reden misbruik van, ook niet voor ongeoorloofde toegang, het wegsluizen van gegevens of het verstoren van de dienstverlening. Zulke activiteiten zijn strikt verboden en kunnen tot juridische stappen leiden.

• Erkenning: we erkennen en waarderen de waardevolle bijdrage van beveiligingsonderzoekers die ons helpen onze beveiliging te verbeteren. Afhankelijk van de ernst en de impact van de gemelde kwetsbaarheid kunnen we een publieke vermelding in onze hall of fame overwegen om onze dank te tonen. We behouden ons wel het recht voor om te bepalen wie in aanmerking komt voor een erkenning of beloning en welke vorm die aanneemt. Financiële beloningen zijn momenteel niet actief.

Door een melding van een beveiligingskwetsbaarheid in te dienen bij Bringme, ga je akkoord met de richtlijnen in deze Responsible Disclosure Policy.

Sjabloon om te gebruiken bij het melden van een kwetsbaarheid:

• Wat is de proof of concept? Documenteer met screenshots of een schermopname, of noteer elke stap zo gedetailleerd mogelijk.
• Op welke manier kunnen kwaadwillige partijen de beschreven kwetsbaarheid misbruiken en wat zijn de voorwaarden? Wees heel specifiek, niet algemeen.
• Wat is de impact?
• Met welk account heb je getest?
• Tegen welk endpoint precies heb je getest?
• Wat is je concreet voorstel om deze kwetsbaarheid op te lossen?

De volgende kwetsbaarheden vallen buiten de scope:

• Clickjacking op pagina's zonder gevoelige acties of zonder geauthenticeerde acties
• Bekendmaking van softwareversies of problemen met banneridentificatie
• Ontbrekende best practices voor e-mail (ongeldige, onvolledige of ontbrekende SPF-, DKIM- of DMARC-records enz.)
• Ontbrekende best practices in de SSL/TLS-configuratie
• Open redirect, tenzij een bijkomende impact op de beveiliging aangetoond kan worden
• Cross-Site Request Forgery (CSRF) op niet-geauthenticeerde formulieren of formulieren zonder gevoelige acties
• Alles wat te maken heeft met HTTP-beveiligingsheaders, bijvoorbeeld: Strict-Transport-Security / X-Frame-Options / X-XSS-Protection / X-Content-Type-Options / Content-Security-Policy.
• Meldingen van oudere versies van software zonder proof of concept of werkende exploit.

We waarderen je inzet om onze systemen en gebruikers veilig te houden. Bedankt voor je medewerking om een veilige omgeving voor iedereen te behouden.

Bringme - security@bringme.com

Versie: 1.1