Responsible disclosure.

We doen ons best om onze website veilig te houden. Toch kan er een zwakke plek in zitten. Vind je een kwetsbaarheid, dan horen we dat graag zo snel mogelijk, zodat we ze kunnen oplossen voor iemand er misbruik van maakt.

Met dit beleid geven we je toestemming om onze website te onderzoeken, binnen het toepassingsgebied en de spelregels hieronder. Houd je je daaraan, dan beschouwen we je onderzoek als toegelaten.

Binnen dit beleid

• De website https://ginkgo-leaf.eu, met alle pagina’s en documenten erop.

Buiten dit beleid

• Diensten van derden die we gebruiken, zoals GitLab (hosting), Proton Mail (e-mail), Let’s Peppol (e-facturen) en onze bank. Vind je daar iets, meld het dan bij die leverancier zelf.
• De systemen van onze klanten en partners.
• Onze toestellen, accounts en gebouwen.
• Wijzelf en onze klanten: geen social engineering of phishing.

Meldingen zonder aantoonbaar risico lezen we graag, maar ze komen niet in aanmerking voor een beloning. Denk aan ontbrekende HTTP-beveiligingsheaders, SPF-, DKIM- of DMARC-instellingen, versie-informatie, clickjacking op pagina’s zonder gevoelige acties en ruwe uitvoer van automatische scanners.

• Doe niet meer dan nodig om het probleem aan te tonen. Stop zodra je een proof of concept hebt.
• Kijk niet in meer gegevens dan nodig en download, wijzig of wis geen gegevens.
• Stuit je op persoonsgegevens, stop dan, kopieer niets en wis wat je zag zodra je melding verstuurd is.
• Geen denial-of-service, belastingstests of brute force.
• Geen social engineering, phishing, spam of fysieke toegang.
• Installeer niets op onze systemen: geen malware, geen backdoor en ook geen andere manier om later opnieuw binnen te raken.
• Deel de toegang die je vond met niemand: geef geen wachtwoorden, links of werkwijze door. Die details gaan alleen naar ons (en eventueel naar het CCB).
• Maak de kwetsbaarheid niet openbaar voor ze opgelost is en we samen een datum hebben afgesproken.
• Vraag geen geld in ruil voor details of voor je zwijgen. Dat is geen responsible disclosure meer.

Mail je melding naar security@ginkgo-leaf.eu.

Versleutel je melding met onze publieke PGP-sleutel. Mail je vanaf Proton Mail, dan gebeurt dat automatisch. Kies een neutraal onderwerp, want de onderwerpregel wordt niet versleuteld.

Vermeld in je melding:

1. wat het probleem is en waar (URL);
2. de stappen om het na te doen;
3. je bewijs, zo beperkt mogelijk en met persoonsgegevens onleesbaar gemaakt;
4. de mogelijke impact, en wat je níet hebt gedaan;
5. wanneer je testte (datum, uur en tijdzone) en vanaf welk IP-adres;
6. hoe we je kunnen bereiken. Een alias mag.

Je mag in het Nederlands of in het Engels schrijven.

• Binnen vijf werkdagen bevestigen we je melding, met een eerste inschatting.
• We houden je op de hoogte. Ons doel is een oplossing binnen 90 dagen.
• We behandelen je melding vertrouwelijk en geven je gegevens niet door zonder je toestemming, tenzij de wet ons daartoe verplicht.
• Hield je je aan de spelregels, dan doen we geen aangifte en stappen we niet naar de rechter.
• Na de oplossing spreken we samen af of en wanneer de kwetsbaarheid bekendgemaakt wordt. Als je dat wil, vermelden we je naam of alias als ontdekker.

Ben je de eerste die een nieuwe kwetsbaarheid binnen dit beleid meldt, en volgde je de spelregels, dan krijg je een t-shirt van Ginkgo Leaf. Eén t-shirt per kwetsbaarheid. Of een melding in aanmerking komt, beslissen wij. Geld geven we niet: dit is geen bug bounty.

Als je wil, zetten we je ook in onze lijst van dank.

Zonder toestemming een informaticasysteem binnendringen is in België strafbaar, ook met goede bedoelingen. Dit beleid is die toestemming, maar alleen binnen het toepassingsgebied en met de spelregels hierboven. Het geeft geen toestemming voor systemen van derden.

Je kan ook de wettelijke procedure van het Centrum voor Cybersecurity België (CCB) volgen, op basis van de artikelen 22 en 23 van de NIS2-wet van 26 april 2024. Je meldt dan aan het CCB (vulnerabilityreport@ccb.belgium.be) én aan ons: een vereenvoudigde melding binnen 24 uur na de ontdekking, een volledige melding binnen 72 uur. Publiceren mag dan alleen met het akkoord van het CCB.

Meer uitleg bij het CCB: het wettelijke kader en een kwetsbaarheid melden.

Deze onderzoekers hielpen ons veiliger te worden.

Nog niemand. Word jij de eerste?

Dit beleid is gebaseerd op het voorbeeldbeleid van Floor Terra, gepubliceerd onder CC BY 4.0, en aangepast aan het Belgische kader. Machineleesbaar staat het in security.txt.