Kwetsbaarheid melden

Zo meldt u een kwetsbaarheid

• Gebruik het meldformulier onderaan deze pagina en meld uw bevinding zo snel mogelijk.
• Beschrijf het probleem zo duidelijk mogelijk: op welke pagina of URL, welke stappen wij kunnen volgen om het na te doen en wat de mogelijke gevolgen zijn. Schermafbeeldingen zijn welkom.
• Laat uw e-mailadres achter, zodat wij u kunnen bereiken voor eventuele vragen.

Wat wij van u vragen

• Maak de kwetsbaarheid niet openbaar of met anderen bekend totdat wij deze hebben opgelost.
• Maak geen misbruik van het probleem: bekijk, kopieer, wijzig of verwijder niet meer gegevens dan nodig is om de kwetsbaarheid aan te tonen, en nooit gegevens van andere gebruikers of bedrijven.
• Verwijder gegevens die u bij uw onderzoek heeft verkregen direct nadat u de melding heeft gedaan.
• Voer geen aanvallen uit die de beschikbaarheid van de website kunnen verstoren (zoals DoS-aanvallen of grootschalige geautomatiseerde scans) en gebruik geen brute-force-aanvallen op wachtwoorden.
• Gebruik geen social engineering of phishing tegen ons of onze klanten, plaats geen malware en doe geen aanmeldingen, betalingen of berichten uit naam van anderen.

Wat u van ons kunt verwachten

• U ontvangt direct een automatische ontvangstbevestiging per e-mail.
• Binnen 10 werkdagen laten wij weten hoe wij de melding beoordelen en wanneer wij een oplossing verwachten. Wij houden u op de hoogte van de voortgang.
• Houdt u zich aan de voorwaarden op deze pagina, dan ondernemen wij geen juridische stappen tegen u met betrekking tot de melding.
• Wij behandelen uw melding vertrouwelijk en delen uw persoonsgegevens niet zonder uw toestemming met derden, tenzij de wet ons daartoe verplicht.
• Als u dat wilt, vermelden wij u als ontdekker zodra het probleem is opgelost.

Beloning en uitzonderingen

De Bedrijvengids heeft geen bug bounty-programma: wij geven geen financiële beloning voor meldingen. De volgende zaken nemen wij niet in behandeling, tenzij u een concreet en aantoonbaar risico laat zien:

• resultaten van automatische scanners zonder uitleg of bewijs van misbruik;
• ontbrekende HTTP-headers, cookie-vlaggen of versie-informatie van gebruikte software;
• instellingen van SPF, DKIM of DMARC;
• clickjacking op pagina’s zonder gevoelige handelingen, en self-XSS;
• het ontbreken van rate limiting op pagina’s zonder gevoelige functie.

Gaat het om een dienst van een andere partij die wij gebruiken, zoals onze betaalprovider of hosting? Meld het dan bij die partij zelf. Voor een onjuiste bedrijfsvermelding of illegale inhoud kunt u terecht op Illegale content melden of via ons contactformulier.

In English

Found a security vulnerability on De Bedrijvengids? Please report it using the form below (you may write in English), with enough detail for us to reproduce it. Do not disclose the issue publicly until it has been fixed, do not access or modify data beyond what is needed to demonstrate it, and do not perform denial-of-service, brute-force or social engineering attacks. You will receive an automatic acknowledgement by e-mail, and we will not take legal action against researchers who follow these rules. We do not offer monetary rewards, and automated scanner output without a demonstrated impact is out of scope.