Beveiliging
Een kwetsbaarheid in de beveiliging melden
Als u een zwakke plek hebt gevonden in euphile.eu of in een van de platformproducten, laat het ons dan weten. Wij lezen elke melding, wij geven elke melder antwoord en wij geven u de eer zodra het probleem is verholpen.
Uw melding
Velden met * zijn verplicht. Schrijf zo mogelijk in het Engels. Wij lezen ook meldingen in elke EU-taal.
De regels
Wat u mag testen
- euphile.eu en elke dienst onder euphile.eu: de applicaties, de beheerconsoles en de API's.
- De tien platformproducten, inclusief hun desktopapplicaties en invoegtoepassingen, in hun laatst uitgebrachte versie.
- Elk ander systeem dat wij beheren en dat klantgegevens bevat.
Wat buiten de scope valt
- Diensten die derden draaien en die wij alleen gebruiken. Meld die bij de eigenaar ervan.
- Denial of service, belastingtests en elke test die de dienst voor anderen vertraagt of onderbreekt.
- Social engineering, phishing en fysieke aanvallen op onze medewerkers, onze klanten of onze kantoren.
- Resultaten van geautomatiseerde scanners zonder aangetoonde, misbruikbare impact.
- Ontbrekende beveiligingsheaders, cookie-flags of records voor e-mailauthenticatie, tenzij u een concrete aanval aantoont.
- Self-XSS, clickjacking op pagina's zonder gevoelige actie, en het prijsgeven van softwareversies.
- Prompts die een AI-model iets ongewensts laten zeggen, tenzij ze een beveiligingsgrens overschrijden: gegevens van een andere klant, een geheim of een actie die de gebruiker niet mag uitvoeren.
Hoe u test
- Gebruik alleen accounts die van u zijn, of accounts waarvan de eigenaar u schriftelijk toestemming heeft gegeven.
- Als u gegevens bereikt die niet van u zijn, stop dan. Kopieer, bewaar of deel ze niet, en vermeld dit in uw melding.
- Doe alleen wat nodig is om het probleem aan te tonen: geen wijzigingen of verwijderingen, geen persistentie en niet doordringen in andere systemen.
- Houd geautomatiseerd verkeer onder 5 verzoeken per seconde.
- Deel de details met niemand totdat wij een oplossing hebben uitgebracht, of tot 90 dagen na uw melding, afhankelijk van wat het eerst komt. Wij kunnen samen een andere datum afspreken.
- Vraag geen betaling in ruil voor het niet openbaar maken. Dat is afpersing, geen onderzoek.
Waartoe wij ons verplichten
- Wij bevestigen de ontvangst binnen 2 werkdagen.
- Wij sturen binnen 5 werkdagen een eerste beoordeling, met onze inschatting van de ernst.
- Wij houden u ten minste eenmaal per maand op de hoogte totdat het probleem is opgelost.
- Wij laten u weten wanneer de oplossing is uitgebracht, en spreken met u af wanneer het beveiligingsadvies wordt gepubliceerd.
- Met uw toestemming vermelden wij uw naam in het beveiligingsadvies en in de dankbetuigingen.
Safe harbour
- Als u te goeder trouw handelt en deze regels volgt, beschouwen wij uw onderzoek als geautoriseerd. Wij ondernemen daarvoor geen juridische stappen tegen u, en wij steunen niemand die dat wel doet.
- Als een derde partij stappen tegen u onderneemt voor onderzoek dat deze regels volgde, maken wij bekend dat uw onderzoek geautoriseerd was.
- Dit geldt voor systemen die wij bezitten en beheren. Wij kunnen geen tests autoriseren op systemen die van iemand anders zijn.
Beloningen
- Elke geldige melding krijgt, met uw toestemming, een naamsvermelding.
- Voor een originele bevinding met een hoge of kritieke ernst kunnen wij een financiële beloning aanbieden. Of wij er een aanbieden, en hoe hoog die is, beslissen wij op basis van de impact en de kwaliteit van de melding. Een beloning is niet gegarandeerd.
- Als meerdere mensen hetzelfde probleem melden, telt de eerste volledige melding.
- Wij kunnen geen beloning uitbetalen waar de wet dat verbiedt, of aan iemand die deze regels heeft overtreden.