Cyberbeveiligingsbeleid
DropBG (dropbg.io) • Gecoördineerde Bekendmaking van Kwetsbaarheden
Beleid
We waarderen je interesse om ons te helpen onze beveiliging te verbeteren. Volg de onderstaande regels om elk risico op juridische gevolgen te voorkomen.
Richtlijnen voor Gecoördineerde Bekendmaking van Kwetsbaarheden (CVD)
- Vermijd ongeautoriseerd delen. Bespreek de kwetsbaarheid tijdens het gecoördineerde bekendmakingsproces uitsluitend met de betrokken leverancier, de systeemeigenaar en ons.
- Geef tijd voor een oplossing. Wacht met het openbaar maken van de kwetsbaarheid totdat de betrokken partijen voldoende tijd hebben gehad om deze te verhelpen, of totdat jij en alle partijen — inclusief DropBG — een overeenkomst over openbaarmaking hebben bereikt.
- Beperk interacties tot een minimum. Nadat je een kwetsbaarheid hebt gemeld, mag je tijdens het gecoördineerde bekendmakingsproces geen verdere interactie meer hebben met het getroffen systeem.
- Beperk je reikwijdte. Voer bij het aantonen van een proof of concept alleen de minimaal noodzakelijke handelingen uit. Download, wijzig of verwijder geen gegevens verder dan strikt noodzakelijk is.
- Overschrijd je toegangsrechten niet. Vermijd het verhogen van rechten (privilege escalation) of het verkennen van een systeem verder dan het minimum dat nodig is voor je proof of concept. Gebruik alleen je eigen accounts om te testen en maak nooit gegevens van andere gebruikers buit.
- Gebruik ethische methoden. Gebruik geen brute-force- of social engineering-technieken om toegang te krijgen tot een systeem.
- Vermijd kwaadwillende acties. Voer geen denial-of-service-aanvallen uit en installeer geen malware of virussen.
- Vermeld IP-adressen. Vermeld waar mogelijk de IP-adressen die je tijdens je ontdekking hebt gebruikt. Dit helpt ons om mogelijk misbruik te beoordelen en vals-positieve meldingen te verminderen.
- Communiceer je plannen. Als je van plan bent je bevindingen openbaar te maken, bijvoorbeeld in een presentatie of artikel, laat het ons dan van tevoren weten.
Wat je kunt verwachten van ons CVD-programma
- Juridische Bescherming. Zolang je onze richtlijnen volgt, te goeder trouw handelt en geen kwaadwillende bedoelingen hebt, zul je van ons geen civielrechtelijke of strafrechtelijke stappen ondervinden voor het melden van een kwetsbaarheid.
- Vertrouwelijkheid & Anonimiteit. Je melding wordt vertrouwelijk behandeld. Je kunt ervoor kiezen om anoniem te blijven, en wij zullen je persoonsgegevens nooit zonder jouw uitdrukkelijke toestemming delen met derden.
- Erkenning. We vermelden graag je naam of bijnaam als melder van een kwetsbaarheid zodra het probleem is opgelost.
- Tijdige Reactie. Je ontvangt binnen 3 werkdagen een bevestiging van je melding en we beoordelen het probleem binnen 5 werkdagen.
- Communicatie. We houden je op de hoogte van de voortgang van het herstel van de kwetsbaarheid en in het geval van een CVE-publicatie coördineren we de bekendmaking met alle betrokken partijen.
- Erkenning op de Wall of Fame. Wij zijn een onafhankelijk project en bieden geen geldelijke beloningen (bug bounties). Als erkenning voor je bijdrage vermelden we graag je naam of gebruikersnaam op onze openbare Security Wall of Fame (tenzij je liever anoniem blijft).
Om een kwetsbaarheid te melden, stuur je een e-mail naar dropna@pm.me. Ons RFC 9116-beveiligingsbestand is beschikbaar op /.well-known/security.txt.
Laatst gewijzigd op 29 september 2026