Route443 bouwt, bewaakt en test de beveiliging van anderen. Dan hoort onze eigen omgeving ook tegen een stootje te kunnen, en hoort een melding van een kwetsbaarheid bij ons welkom te zijn. Heb je een zwakke plek gevonden in een systeem, website of dienst van Route443? Laat het ons weten. Op deze pagina staat hoe, en wat je van ons mag verwachten.
Zo meld je een kwetsbaarheid
- Mail naar security@route443.eu. Wil je vertrouwelijk mailen, vraag dan eerst om onze publieke sleutel.
- Beschrijf wat je hebt gevonden, waar, en hoe we het kunnen reproduceren. Een korte stap-voor-stapbeschrijving of een screenshot is genoeg; een werkende exploit is niet nodig.
- Laat een naam of alias achter waarop we je kunnen bereiken. Anoniem melden mag ook; dan kunnen we alleen geen terugkoppeling geven.
De machineleesbare versie van deze informatie staat op /.well-known/security.txt.
Wat we van jou vragen
- Ga niet verder dan nodig is om de kwetsbaarheid aan te tonen. Bekijk, kopieer, wijzig of verwijder geen gegevens van ons of van onze klanten.
- Gebruik geen aanvallen op de beschikbaarheid (DoS), geen social engineering, geen fysieke toegang en geen spam.
- Installeer geen achterdeurtjes, ook niet “om het te bewijzen”. Verwijder wat je hebt geplaatst zodra het bewijs is geleverd.
- Deel de bevinding niet met anderen en publiceer er niet over voordat wij het probleem hebben opgelost en dat met je hebben afgestemd.
- Meld het zo snel mogelijk na ontdekking.
Wat je van ons mag verwachten
- Binnen één werkdag een ontvangstbevestiging en een contactpersoon.
- Binnen vijf werkdagen een eerste beoordeling: klopt het, hoe ernstig is het en wat gaan we doen.
- We houden je op de hoogte van de voortgang en streven ernaar een bevestigde kwetsbaarheid binnen 30 dagen op te lossen. Duurt het langer, dan leggen we uit waarom.
- We behandelen je melding en je gegevens vertrouwelijk en delen ze niet met derden zonder je toestemming, tenzij de wet ons daartoe verplicht.
- Handel je volgens deze afspraken, dan ondernemen we geen juridische stappen tegen je. Dit beleid sluit aan bij de Leidraad Coordinated Vulnerability Disclosure van het NCSC.
- Als je dat wilt, noemen we je naam of alias hieronder als dank. Een financiële beloning geven we niet; wel sturen we graag een kleine attentie voor een gegronde melding.
Buiten scope
Onderstaande meldingen nemen we in behandeling, maar we beschouwen ze doorgaans niet als kwetsbaarheid:
- ontbrekende best-practice-headers of -instellingen zonder aantoonbare impact (zoals een SPF-, DMARC- of CSP-melding zonder werkend misbruik);
- uitkomsten van geautomatiseerde scanners zonder handmatige verificatie;
- kwetsbaarheden in systemen van derden waarover wij geen zeggenschap hebben; meld die bij de betreffende partij;
- social engineering van medewerkers of leveranciers, en fysieke toegang tot onze locaties;
- alles wat onze klanten raakt: onze klantomgevingen vallen onder het CVD-beleid van de klant zelf.
Met dank aan
We bedanken de melders die ons hebben geholpen onze omgeving veiliger te maken. Wil je vermeld worden, geef dat dan bij je melding aan.
Nog geen vermeldingen.
Vragen over dit beleid? Mail security@route443.eu.