Kwetsbaarheidsmelding

Beleid voor kwetsbaarheidsmelding

We nemen de beveiliging van onze openbare website en systemen serieus. Heeft u een beveiligingsprobleem gevonden, bedankt voor het verantwoord melden.

Reikwijdte

Dit beleid dekt de openbare websites cryptoherstel.nl en cryptorecovers.com en de daaraan direct gerelateerde infrastructuur. Onderzoek is welkom binnen de onderstaande grenzen. Alles buiten deze reikwijdte, waaronder de systemen van onze cliënten, partners of hostingaanbieders, valt niet onder dit beleid.

Toegestaan onderzoek

U mag de openbare website testen op kwetsbaarheden met redelijke, niet-destructieve technieken: controleren op veelvoorkomende verkeerde configuraties, invoerbehandeling testen en publiek aangeboden bestanden beoordelen. U mag geen enkel systeem, account, database, walletmateriaal of persoonsgegevens openen, proberen te openen of wijzigen, behalve uw eigen testgegevens.

Hoe te melden

Stuur uw melding naar security@cryptorecovers.com. Versleutel hem indien mogelijk met onze PGP-publieke sleutel (zie de PGP-pagina); de vingerafdruk staat daar gepubliceerd. Publiceer de kwetsbaarheid niet openbaar voordat we een redelijke kans hebben gehad om te reageren en hem te verhelpen.

Wat uw melding moet bevatten

Een duidelijke beschrijving van het probleem en waar het zich voordoet; de stappen om het te reproduceren, in voldoende detail zodat we het kunnen verifiëren; de mogelijke impact die u heeft geïdentificeerd; uw contactgegevens (optioneel maar nuttig); en de bevestiging dat u alleen uw eigen testgegevens hebt gebruikt.

Waar we ons toe verbinden

We bevestigen de ontvangst van uw melding binnen vijf werkdagen, houden u op de hoogte van de voortgang en werken met u samen om het probleem te verifiëren en te verhelpen. We ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw melden en dit beleid volgen.

Verboden testen

Voer geen destructief of verstorend testen uit: geen denial-of-service-aanvallen, geen gegevensvernietiging of -wijziging, geen credential stuffing, geen phishing of social engineering van ons team of cliënten, en geen testen die walletmateriaal of persoonsgegevens kunnen blootstellen of exfiltreren. Exploiteer een kwetsbaarheid niet verder dan nodig is om hem aan te tonen.

Privacy

Meldingen worden vertrouwelijk behandeld. We gebruiken de informatie alleen om het probleem te verifiëren, triëren en verhelpen, en om erover met u te communiceren. We vragen u nooit om walletmateriaal, en u moet ons er nooit iets sturen.

Beloningen

We exploiteren momenteel geen bug bounty-programma en bieden geen financiële beloningen. We zijn dankbaar voor verantwoorde meldingen en crediteren onderzoekers alleen publiekelijk met hun uitdrukkelijke toestemming.