1.Waarvoor dit is
Dit beleid geldt voor alles wat van ons is: de omgevingen van klanten op *.je-ma.one, het beheerpaneel, het administratieportaal, deze website en de mobiele app.
Het geldt niet voor de systemen van onze klanten of van onze leveranciers. Vind je iets bij een partij uit onze sub-processorlijst, meld het dan daar. Twijfel je, meld het bij ons en wij zetten het door.
2.Hoe je meldt
Stuur een bericht naar abuse@je-ma.one. Vermeld in elk geval:
- wat je hebt gevonden, en waarom het een probleem is;
- hoe wij het kunnen nadoen — een adres, een verzoek, een reeks stappen;
- wanneer je het hebt gevonden;
- hoe wij je kunnen bereiken.
Nederlands of Engels, allebei goed. Een schermafbeelding helpt vaak meer dan een lange beschrijving.
Geen versleutelde melding nodig. Wij vragen niet om PGP. Bevat je melding gegevens die echt niet over gewone mail kunnen, zeg dat dan in een eerste bericht zonder details, dan spreken we een kanaal af.
3.Wat we van je vragen
Onderzoek doen mag, en we waarderen het. Er zijn vier grenzen, en ze komen allemaal op hetzelfde neer: breng geen ander in gevaar.
- Kijk niet verder dan nodig. Heb je aangetoond dat je ergens bij kunt, stop dan. Gegevens van klanten zijn geen bewijs dat je nodig hebt — één regel volstaat om te laten zien dat het kan.
- Verander niets. Geen gegevens aanpassen of verwijderen, geen achterdeur achterlaten, geen account aanmaken dat blijft staan.
- Verstoor niets. Geen belastingtests, geen bruteforce, geen geautomatiseerde scans die de dienst voor anderen traag maken. Gebruik een eigen proefomgeving als je wilt testen — die vraag je bij ons aan en die krijg je.
- Deel het niet voordat het opgelost is. Zie hoofdstuk 4 voor de termijn die wij daartegenover zetten.
Gegevens die je onderweg toch te zien krijgt: niet bewaren, niet delen, en ons vertellen wat je hebt gezien zodat wij kunnen bepalen of er een meldplicht speelt.
4.Wat wij toezeggen
Houd jij je aan hoofdstuk 3, dan doen wij dit:
- Binnen één werkdag bevestigen wij dat we je melding hebben.
- Binnen vijf werkdagen laten wij weten wat we ervan vinden: erkennen we het, hoe ernstig schatten we het in, en wanneer denken we het opgelost te hebben.
- Wij houden je op de hoogte tot het opgelost is, ook als dat lang duurt.
- Binnen 90 dagen is het opgelost, of leggen wij uit waarom dat niet lukt. Daarna staat het je vrij om te publiceren, en we werken graag mee aan een gezamenlijke publicatie.
Wij doen geen aangifte tegen wie zich aan dit beleid houdt, en wij stellen niemand aansprakelijk voor onderzoek dat binnen deze grenzen blijft. Dat is een toezegging die wij ook nakomen als de uitkomst ons slecht uitkomt.
Wij kunnen die toezegging niet doen namens het Openbaar Ministerie; dat is in Nederland niemand gegeven. Wat wij wel doen is geen aangifte doen, en desgevraagd verklaren dat het onderzoek met onze instemming plaatsvond.
5.Wat niet meetelt
Dit krijgen wij vaak en het is geen kwetsbaarheid. Meld het gerust, maar verwacht er geen erkenning voor.
- Uitkomsten van een geautomatiseerde scanner zonder dat je hebt aangetoond dat er iets mee kan.
- Ontbrekende beveiligingsheaders die geen aantoonbaar gevolg hebben.
- Zwakke instellingen op een e-mailconfiguratie van een domein dat geen mail verstuurt.
- Versienummers van software, tenzij je een uitbuitbare fout in die versie laat zien.
- Social engineering van onze medewerkers of die van onze klanten.
- Fysieke toegang tot apparatuur, en aanvallen die eerst een overgenomen apparaat vereisen.
- Iemand die zichzelf in zijn eigen omgeving iets kan aandoen.
6.Erkenning
Wij betalen geen vergoeding. Wij zijn een klein bedrijf en een bedrag beloven dat we niet kunnen waarmaken is erger dan niets beloven.
Wat wij wel doen, als je dat wilt:
- je naam noemen in de melding aan klanten en in ons changelog;
- een schriftelijke bevestiging van wat je hebt gevonden en wanneer, bruikbaar in een portfolio;
- meewerken aan een publicatie, en die niet tegenhouden als de termijn uit hoofdstuk 4 is verstreken.
Liever anoniem blijven kan ook. Zeg het er dan bij.
Dit beleid staat ook in /.well-known/security.txt. Zie ook de beveiligingspagina en de Acceptable Use Policy, die beschrijft wat er binnen de dienst niet mag.