Beveiliging
Responsible disclosure
Hebt u een zwakke plek gevonden in iets dat wij beheren, dan horen wij dat liever van u dan van iemand met slechtere bedoelingen. Deze pagina zegt hoe u het meldt, wat wij ermee doen, en wat wij intussen van u vragen.
Hoe u meldt
Stuur ons een e-mail. Zet er genoeg in om het probleem na te spelen zonder te hoeven raden: welke URL of welk systeem, wat u deed, wat er gebeurde, en wat u had verwacht. Schermafbeeldingen en een proof of concept helpen. Nederlands of Engels, wat u prettig vindt.
Stuur het naar info@upwardtech.nl
Wij publiceren nog geen PGP-sleutel. Moet u iets gevoeligs sturen, meld dat dan in een eerste bericht, dan spreken wij een veilig kanaal af voordat u de details stuurt.
Wat wij doen
- Binnen drie werkdagen bevestigen wij uw melding, en wel door een mens.
- Binnen tien werkdagen krijgt u een eerste beoordeling: of wij het konden reproduceren, hoe ernstig wij het inschatten, en wanneer wij een oplossing verwachten.
- Wij houden u op de hoogte zolang wij eraan werken, en laten weten wanneer het is afgehandeld.
- Wilt u met naam op deze pagina vermeld worden, dan doen wij dat. Wilt u anoniem blijven, ook goed. Uw keuze, niet de onze.
- Wij ondernemen geen juridische stappen tegen u en doen geen aangifte, mits u zich aan de regels hieronder hield. Op verzoek bevestigen wij dat schriftelijk.
Wat wij van u vragen
- Geef ons een redelijke kans om het op te lossen voordat u het elders deelt. Zestig dagen is gebruikelijk, en wij spreken liever een datum met u af dan het open te laten.
- Benader, wijzig of verwijder niet meer gegevens dan nodig is om het probleem aan te tonen. Eén record is bewijs. Een database-dump niet.
- Gebruik de zwakke plek niet om verder onze systemen of die van anderen binnen te komen.
- Geen denial of service, geen volumetrische tests of brute force, geen spam, en geen social engineering van onze mensen, onze klanten of onze leveranciers.
- Geen fysieke toegang, en niets dat een dienst verstoort waar een klant op draait.
- Verwijder de gegevens die u hebt verkregen zodra de melding is afgehandeld.
Wat binnen scope valt
Alles wat wij zelf beheren. Twijfelt u of iets van ons is, vraag het dan voordat u het test.
- upwardtech.nl en elk subdomein dat wij publiceren.
- De mailinfrastructuur van upwardtech.nl: SPF, DKIM, DMARC, en alles waarmee iemand post zou kunnen versturen die van ons lijkt te komen.
- De servers en het netwerk die wij zelf draaien.
Wat niet
Die zijn niet van ons om op te lossen, of het zijn geen bevindingen.
- Klantsystemen die wij hosten maar niet bezitten. Meld ze bij ons en wij brengen ze bij de klant, maar test ze niet zonder toestemming van die klant.
- Diensten van derden op hun eigen domein.
- Ontbrekende beveiligingsheaders, voorkeuren voor cipher suites en vergelijkbare scanneruitvoer, zonder aangetoonde impact.
- Rate limiting op een marketingsite zonder inlog.
- Self-XSS, clickjacking op pagina's zonder handeling met gevolgen, en meldingen die volledig door een geautomatiseerde tool zijn gegenereerd.
Er is geen beloning
Wij zijn een klein bedrijf en gaan niet doen alsof dat anders is door een beloningsregeling aan te kondigen die wij niet structureel kunnen betalen. U krijgt een snel antwoord, een echte oplossing, vermelding als u dat wilt, en onze dank. Behoedt uw melding ons voor iets ernstigs, dan praten wij over een vergoeding voor uw tijd, maar dat zeggen wij liever eerlijk dan dat wij een tabel met bedragen publiceren die wij misschien niet waarmaken.
Machineleesbaar
Dit beleid staat ook op /.well-known/security.txt, volgens RFC 9116, zodat een scanner of de tooling van een onderzoeker het vindt zonder deze pagina te lezen.