Deze pagina is een gemaksvertaling. Als deze afwijkt van de Engelse versie, prevaleert de Engelse versie. Lees de Engelse versie
Verantwoorde melding van kwetsbaarheden
Een beveiligingsprobleem gevonden? Meld het ons voordat iemand anders het op de harde manier ontdekt.
Wij nemen meldingen van externe onderzoekers serieus en horen liever rechtstreeks van u dan dat wij achteraf een publicatie tegenkomen. Deze pagina beschrijft wat binnen het bereik valt, hoe u een melding doet en wat u van ons kunt verwachten.
Reikwijdte
Wat dit beleid omvat.
Binnen de reikwijdte
- myshieldid.com en de Amerikaanse pagina's op myshieldid.com/us, de doorverwijzende domeinen shieldid.ca en myshieldid.ca, en hun subdomeinen, inclusief de marketingsite, de verificatiestroom en het accountportaal
- De openbare ShieldID API
- Authenticatie, sessiebeheer en toegangscontrole op elk door ShieldID beheerd systeem
Buiten bereik
- Producten en sites die wij niet beheren, ook als ze ShieldID gebruiken (RentKey, Crown Ledger en Trust Ledger hebben eigen beveiligingscontacten)
- Diensten van derden waarmee wij integreren, tenzij het probleem zit in de manier waarop wij ze gebruiken
Hoe u een melding doet
Stuur ons een e-mail. Open niet eerst een openbaar issue en plaats niet eerst een bericht.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Vermeld alstublieft:
- Het type probleem en de betreffende URL, het endpoint of het systeem
- Stappen om het probleem te reproduceren, of een proof of concept
- Waartoe u toegang kreeg of wat u kon bereiken, en hoe u dat hebt bevestigd
- Gebruikte tools of scripts, zodat wij uw stappen exact kunnen reproduceren
Wat wij beloven
Een bevestiging, een serieuze beoordeling en geen juridische problemen voor onderzoek te goeder trouw.
Bevestiging
Wij streven ernaar een geldige melding binnen drie werkdagen na ontvangst te bevestigen. Dat is een doelstelling die wij openbaar vermelden, geen gemeten gemiddelde.
Een echt onderzoek
Elke melding wordt beoordeeld door iemand die er iets mee kan doen, en niet gefilterd door een formulier dat nergens heen gaat.
Geen juridische stappen voor onderzoek te goeder trouw
Als u te goeder trouw een kwetsbaarheid vindt en meldt, binnen het bereik van dit beleid, en zonder gegevens te openen, te wijzigen of te exfiltreren buiten wat nodig is om het probleem aan te tonen, ondernemen wij geen juridische stappen tegen u voor dat onderzoek.
Momenteel geen bugbounty
Wij hebben momenteel geen betaald bugbountyprogramma. Wij beloven geen beloning waaraan wij ons niet kunnen verbinden, maar wij beloven wel te lezen wat u ons stuurt en daar actie op te ondernemen.
Buiten bereik
Doe als onderdeel van een melding alstublieft niets van het volgende.
- Social engineering toepassen op ons personeel, onze opdrachtnemers of onze klanten
- Fysieke pogingen om toegang te krijgen tot onze kantoren of infrastructuur
- Denial-of-service-tests, of alles wat de dienst voor echte aanvragers verslechtert
- Geautomatiseerd scannen in een omvang die andere gebruikers kan beïnvloeden, zonder ons eerst te vragen
- Gegevens van een andere persoon openen, wijzigen of verwijderen buiten wat nodig is om een probleem aan te tonen
- Spam, phishing of elke poging om het eigen oordeel van onze medewerkers te testen in plaats van het systeem
Safe harbour
Onderzoek te goeder trouw, binnen dit beleid, is welkom.
Wij beschouwen beveiligingsonderzoek dat overeenkomstig dit beleid wordt uitgevoerd als geautoriseerd en wij zullen geen juridische stappen ondernemen voor dat onderzoek. Dit is algemene safe-harbour-tekst en geen vervanging voor juridisch advies dat op uw situatie is afgestemd. Als u twijfelt of iets binnen het bereik valt, vraag het ons dan voordat u het test.
Vragen
Duidelijke antwoorden over het melden van een kwetsbaarheid.
Klaar om te melden?
Email [email protected] with what you found.
Voeg stappen ter reproductie toe en vermeld waartoe u toegang kreeg. Wij nemen het vanaf daar over.