Kwetsbaarheid melden

In het kort

Vind je een zwakke plek in capendo.nl of in de app op app.capendo.nl, meld die dan aan [email protected] met "Kwetsbaarheid" in het onderwerp. We nemen elke melding serieus en doen geen aangifte tegen wie zich aan de regels hieronder houdt.

Wat we vragen

• Meld de zwakke plek zo snel mogelijk, met genoeg uitleg om hem na te gaan: wat, waar en hoe.
• Gebruik de zwakke plek niet verder dan nodig om hem aan te tonen. Bekijk, wijzig of verwijder geen gegevens van anderen en kopieer ze niet.
• Geen aanvallen die de dienst verstoren (zoals overbelasting), geen social engineering, geen fysieke toegang en geen spam.
• Deel de zwakke plek niet met anderen tot hij is opgelost.
• Doe geen pogingen op diensten van anderen, zoals Cloudflare, Hetzner, PDOK of OpenFreeMap. Meld zwakke plekken daar bij die partij zelf.

Wat we niet als kwetsbaarheid zien

• Uitkomsten van een automatische scan zonder aangetoond misbruik.
• Ontbrekende beveiligingsheaders of cookie-instellingen zonder concreet gevolg.
• Kwetsbaarheden die alleen werken in een verouderde browser, of alleen tegen jezelf (self-XSS).
• Het ontbreken van een captcha of van een limiet op inlogpogingen, zonder aangetoond misbruik.

Wat we doen

• We bevestigen je melding zo snel mogelijk, uiterlijk binnen 5 werkdagen, en houden je op de hoogte.
• We lossen een bevestigde zwakke plek zo snel mogelijk op en spreken samen af wanneer erover gepubliceerd kan worden.
• Melden mag onder een schuilnaam. Wil je, dan noemen we je naam als melder.
• We bieden geen vaste geldbeloning; een bedankje en vermelding wel, als je dat wilt.

Onze contactgegevens voor beveiliging staan ook in security.txt.