Een kwetsbaarheid melden

Dit platform verwerkt gegevens van mensen die een nest melden. We doen ons best om dat veilig te doen, maar geen enkel systeem is foutloos. Vind je een zwakke plek, laat het ons dan weten — liever van jou dan van iemand met slechtere bedoelingen.

Dit beleid volgt de NCSC-leidraad Coordinated Vulnerability Disclosure.

Hoe meld je het?

Mail naar security@meldpuntaziatischehoornaar.nl. Help ons met:

• wat je hebt gevonden, en op welke pagina of welk endpoint;
• hoe we het zelf kunnen nabootsen — stappen, een verzoek, een screenshot;
• wat iemand ermee zou kunnen, voor zover je dat kunt inschatten;
• hoe we je kunnen bereiken voor vragen.

Melden mag anoniem. Dan kunnen we alleen niet terugkoppelen, en je niet bedanken.

Wat je van ons terugkrijgt

• Binnen 3 werkdagen een bevestiging dat je melding is aangekomen, van een mens.
• Binnen 10 werkdagen ons oordeel: of we het als kwetsbaarheid zien, hoe ernstig we het inschatten, en wanneer we denken het te hebben opgelost.
• Bericht zodra het is opgelost, en — als je dat wilt — vermelding van je naam als vinder.

Er is geen beloning of bug bounty. Dit is een klein platform; wat we te bieden hebben is een snelle reactie, een eerlijke terugkoppeling en onze dank.

Wat je mag onderzoeken

Alles wat onder meldpuntaziatischehoornaar.nl draait, inclusief de Partner-API. Diensten van derden die wij gebruiken — de hosting, de database, de mailverzending — vallen buiten dit beleid; meld die bij de partij zelf.

Wat we je vragen niet te doen

Niet omdat we moeilijk willen doen, maar omdat achter dit platform echte mensen zitten die een nest hebben gemeld:

• Geen gegevens van anderen inzien, downloaden, wijzigen of verwijderen. Heb je genoeg gezien om aan te tonen dát het kan, stop dan — en vertel ons wat je zag zonder de gegevens mee te sturen.
• Geen denial-of-service, stresstests of geautomatiseerd scannen op volume.
• Geen social engineering, phishing of fysieke toegangspogingen.
• Geen achterdeurtjes, malware of wijzigingen achterlaten. Vond je een weg naar binnen, laat het systeem dan achter zoals je het aantrof.
• Het probleem niet met anderen delen voordat het is opgelost. Lukt het ons niet binnen een redelijke termijn, dan overleggen we met je over wanneer en hoe je er wél over kunt publiceren.

Onze toezegging

Houd je je aan dit beleid, dan doen wij geen aangifte en stellen we je niet civielrechtelijk aansprakelijk voor je onderzoek. We behandelen je melding vertrouwelijk en geven je gegevens niet aan derden zonder je toestemming — tenzij we daar wettelijk toe verplicht zijn.

Eén eerlijke kanttekening: wij kunnen niet namens justitie spreken. Het Openbaar Ministerie beslist zelfstandig over vervolging. De NCSC-leidraad beschrijft dat een nette melding volgens een gepubliceerd beleid daarbij in je voordeel weegt, maar een garantie is het niet — en die zou niemand je eerlijk kunnen geven.

Wie dit platform beheert

Het meldpunt is van NatuurlijkRob (Rob Voesten). Het platform wordt gebouwd en beheerd door Liebenberg AI (Christian Liebenberg, KvK 98456598, Amsterdam). Meldingen over dit platform komen bij Liebenberg AI terecht — daar wordt ook de oplossing gebouwd.

Gaat je melding over persoonsgegevens in plaats van over een technische kwetsbaarheid, kijk dan op de privacyverklaring.