Deze pagina legt uit hoe u een beveiligingsprobleem in Beloplan meldt, wat u van ons mag verwachten en welke regels wij onderzoekers te goeder trouw vragen te volgen. Meldingen zijn welkom van iedereen, klant of niet.
Melden
Hoe u een kwetsbaarheid meldt#
Schrijf naar security@beloplan.be. Hetzelfde adres, met ons beleid en de talen die wij lezen, staat in machineleesbare vorm in security.txt.
Gebruik hiervoor niet het supportadres, en maak de details niet openbaar voordat wij de kans hebben gehad het probleem op te lossen.
Wat u vermeldt
- Wat het probleem is en waar het zit: het adres van de pagina of het eindpunt, en het product (webtoepassing, telefoon-app of API).
- De stappen om het te reproduceren, of een werkend proof of concept. Een korte werkende demonstratie is meer waard dan een lange beschrijving.
- Wat een aanvaller ermee zou kunnen doen, voor zover u dat kon vaststellen zonder verder te gaan dan deze regels toelaten.
- Het tijdstip waarop u testte en het adres waarvan u testte, zodat wij het in onze logs terugvinden.
- Hoe wij u kunnen bereiken, en of u bij naam genoemd wilt worden zodra het probleem is opgelost.
Onze reactie
Wat u van ons mag verwachten#
- Wij bevestigen de ontvangst van uw melding binnen één werkdag.
- Wij houden u op de hoogte tot het probleem is opgelost, ook als wij het niet kunnen reproduceren of het niet als kwetsbaarheid beschouwen, en wij zeggen waarom.
- Wij vragen gecoördineerde bekendmaking: geef ons redelijke tijd om het probleem op te lossen voor u iets publiceert. Onze standaardtermijn is 90 dagen na uw melding. Hebben wij meer tijd nodig, of hebt u een reden om eerder te publiceren, dan spreken wij samen een datum af.
Goede trouw
Onderzoek te goeder trouw#
Beveiligingsonderzoek te goeder trouw is welkom. Wij stellen geen juridische stappen tegen een melding te goeder trouw die deze regels volgt:
- Raadpleeg of wijzig de gegevens van anderen niet verder dan nodig is om het probleem aan te tonen. Gebruik een eigen account.
- Voer geen denial-of-service-aanvallen uit en doe niets wat de dienst voor anderen verslechtert.
- Geen social engineering van ons personeel of onze klanten, en geen fysieke aanvallen.
- Verstuur geen spam en gebruik een kwetsbaarheid niet om berichten naar mensen te sturen.
- Komt u bij persoonsgegevens terecht, stop dan en meld het ons. Bewaar, kopieer of deel ze niet.
Buiten bereik
Wat wij niet als kwetsbaarheid beschouwen#
Dit zijn voorbeelden van meldingen die wij gewoonlijk afsluiten zonder oplossing:
- Een ontbrekende best-practice-header zonder aangetoonde impact.
- De ruwe uitvoer van een geautomatiseerde scanner zonder werkend bewijs dat het probleem uitgebuit kan worden.
- Self-XSS, waarbij enkel de persoon die de payload intikte kan worden aangevallen.
- Clickjacking op een pagina zonder gevoelige actie die kan worden uitgelokt.
Beloning
Geen bugbounty#
Wij betalen momenteel geen beloningen voor meldingen. Met uw toestemming danken wij u bij naam, en wij laten u weten wanneer het probleem is opgelost.
Incidenten
Beveiligingsincidenten die klanten raken#
Raakt een beveiligingsincident onze klanten, dan verwittigen wij de betrokken klanten en de autoriteiten, zoals de wet en onze Peppol-verplichtingen dat vereisen. Gepland onderhoud en storingen worden aangekondigd op de statuspagina.