Responsible disclosure

Onze inzet voor beveiliging

Bij Enydea nemen we de beveiliging van ons platform serieus. We waarderen de inzet van de securityonderzoeksgemeenschap om ons te helpen de beveiliging en privacy van onze gebruikers te waarborgen.

Reikwijdte

Dit beleid voor responsible disclosure is van toepassing op:

• Alle webapplicaties van Enydea (*.enydea.com)
• API's en backenddiensten van Enydea
• Mobiele apps (indien van toepassing)
• Infrastructuur die de diensten van Enydea ondersteunt

Een kwetsbaarheid melden

Als je een beveiligingslek ontdekt, meld dit dan vertrouwelijk bij ons:

• E-mail:[email protected]
• Onderwerpregel: "Melding beveiligingslek"
• PGP-sleutel: op verzoek beschikbaar voor versleutelde communicatie

Wat je moet vermelden

Vermeld de volgende informatie in je melding:

• Beschrijving van de kwetsbaarheid
• Stappen om het probleem te reproduceren
• Potentiële impact van de kwetsbaarheid
• Eventuele proof-of-conceptcode of screenshots
• Je contactgegevens voor verdere opvolging

Onze afhandeling

1. Bevestiging: Wij bevestigen de ontvangst binnen 2 werkdagen
2. Beoordeling: Ons beveiligingsteam onderzoekt en beoordeelt het probleem
3. Communicatie: We houden je op de hoogte van de voortgang
4. Oplossing: We werken eraan de kwetsbaarheid zo snel mogelijk te verhelpen
5. Erkenning: Met je toestemming erkennen we je bijdrage

Richtlijnen

Om in aanmerking te komen voor responsible disclosure vragen we je het volgende:

• Geen gebruikersgegevens openen of wijzigen zonder toestemming
• Geen handelingen uitvoeren die Enydea of haar gebruikers kunnen schaden
• De kwetsbaarheid niet openbaar maken voordat we deze hebben verholpen
• Wel te goeder trouw je best doen om privacyschendingen en verstoringen van de dienst te voorkomen
• Wel ons redelijke tijd geven om het probleem op te lossen vóór openbaarmaking (doorgaans 90 dagen)

Buiten de reikwijdte

Het volgende valt niet onder responsible disclosure:

• Denial-of-service-aanvallen (DoS)
• Social-engineeringaanvallen op medewerkers van Enydea
• Problemen met fysieke beveiliging
• Diensten van derden die we gebruiken maar niet beheren
• Problemen in verouderde browsers of platforms
• Self-XSS of problemen waarvoor aanzienlijke interactie van de gebruiker nodig is

Erkenning

We waarderen securityonderzoekers die ons helpen onze gebruikers te beschermen. Afhankelijk van de ernst en impact van de kwetsbaarheid kunnen we het volgende bieden:

• Publieke erkenning in onze security hall of fame (met je toestemming)
• Een bedankbrief
• Swag of merchandise
• Bij ernstige kwetsbaarheden: geldelijke beloningen (per geval beoordeeld)

Juridische vrijwaring (safe harbor)

We ondernemen geen juridische stappen tegen onderzoekers die:

• Zich aan dit beleid voor responsible disclosure houden
• Te goeder trouw handelen
• Geen toepasselijke wetten overtreden
• Zonder autorisatie geen gebruikersgegevens openen of wijzigen

Contact

Voor vragen over beveiliging:

• E-mail: [email protected]
• Bedrijf: XBMS B.V.
• Adres: Oldenzaalsestraat 1202, 7524 RJ Enschede, Nederland
• KvK-nummer: 82379033

Bedankt voor uw hulp om Enydea veilig te houden!