Atura

COORDINATED VULNERABILITY DISCLOSURE

Een kwetsbaarheid gevonden? Meld het bij ons.

Wij adviseren over informatiebeveiliging. Dat maakt ons geen uitzondering — ook onze eigen systemen kunnen zwakke plekken hebben. Meld ze, dan lossen we het op voordat iemand er misbruik van maakt.

Mail naar security@atura.nl

Waar dit beleid over gaat

Dit beleid geldt voor atura.nl en alle subdomeinen daarvan, inclusief de systemen die daarachter draaien.

Wat er niet onder valt

Diensten van derden die wij gebruiken vallen buiten onze scope. Vind je iets in zo’n platform zelf, meld het dan bij die partij — zij kunnen het oplossen en wij niet.

Ook deze meldingen nemen we niet in behandeling:

  • Ontbrekende best-practice-headers zonder een werkend misbruikscenario.
  • Adviezen over SPF, DKIM of DMARC zonder aantoonbaar risico.
  • Zichtbare versienummers, zonder een kwetsbaarheid die daarop rust.
  • Self-XSS, of iets dat alleen werkt als het slachtoffer zelf code plakt.
  • Het ontbreken van snelheidsbegrenzing op openbare pagina’s.
  • Ruwe uitvoer van een geautomatiseerde scanner, zonder onderbouwing dat het werkelijk misbruikt kan worden.

Wat we van je vragen

Onderzoek doen is toegestaan binnen de grenzen hieronder. Ze zijn er niet om je te beperken maar om te voorkomen dat onderzoek zelf schade veroorzaakt.

  • Meld je bevinding zo snel mogelijk nadat je hem hebt gevonden.
  • Geef genoeg informatie om het te reproduceren: de URL, de stappen, en wat je verwachtte tegenover wat er gebeurde.
  • Kijk niet verder dan nodig is om de kwetsbaarheid aan te tonen. Kom je onbedoeld bij gegevens van anderen, stop dan meteen en vermeld het in je melding.
  • Download, wijzig of verwijder geen gegevens.
  • Deel je bevinding met niemand anders totdat hij is opgelost — ook niet gedeeltelijk.

En dit doe je niet:

  • Geen denial-of-service, en geen tests die de beschikbaarheid raken.
  • Geen social engineering, phishing of pogingen tot fysieke toegang.
  • Geen malware, geen achterdeurtjes, geen wijzigingen aan onze systemen.
  • Geen brute force op inloggegevens.
  • Geen misbruik van de kwetsbaarheid voor eigen gewin, en geen betaling eisen in ruil voor de melding.

HET PROCES

Wat er na je melding gebeurt

Deze termijnen zijn toezeggingen, geen streefwaarden. Halen we ze niet, dan hoor je van ons waarom.

  1. 3 werkdagen

    Je krijgt een bevestiging

    We laten weten dat je melding is aangekomen en wie hem oppakt. Ook als hij op het eerste gezicht buiten scope valt.

  2. 10 werkdagen

    Je krijgt een inhoudelijk oordeel

    We vertellen of we de bevinding erkennen, hoe ernstig we hem inschatten en wat we ermee gaan doen. Zijn we het oneens, dan leggen we uit waarom.

  3. 60 dagen

    We lossen het op

    Dat is de termijn waar we naar streven. Duurt het langer, dan hoor je dat vóórdat de termijn verstrijkt, met de reden en een nieuwe datum. Je krijgt tussentijds bericht.

  4. In overleg

    We publiceren samen

    Wil je erover schrijven, dan stemmen we het moment af. Wij vragen je te wachten tot het is opgelost; wij vragen je niet om te zwijgen.

Wat je van ons mag verwachten

We ondernemen geen juridische stappen

Houd je je aan de regels hierboven en handel je te goeder trouw, dan doen we geen aangifte en ondernemen we geen juridische stappen tegen je.

Eén eerlijke kanttekening, want een belofte die we niet kunnen waarmaken is niets waard: wij kunnen alleen voor onszelf spreken. Raakt je onderzoek gegevens of systemen van derden, dan geldt onze toezegging daar niet, en het Openbaar Ministerie maakt altijd zijn eigen afweging. Komt het zover, dan laten wij weten dat je verantwoordelijk hebt gehandeld.

Je hoort iets terug

Bij een serieuze, bij ons nog onbekende kwetsbaarheid krijg je een kleine attentie als dank. Wat serieus is beoordelen wij, en we zijn daar duidelijk over: dit is geen bug bounty en scanner-uitvoer zonder onderbouwing valt er niet onder.

Met jouw toestemming vermelden we je naam bij de oplossing. Liever anoniem melden? Dat mag, en het verandert niets aan hoe we je melding behandelen.

Hoe je meldt

Stuur je melding naar security@atura.nl. Wil je versleuteld communiceren, vermeld dat dan in je eerste bericht, dan regelen we een sleutel voordat je details deelt.