Verantwoordelijke disclosure policy

Responsible Disclosure Policy

Bij WebinarGeek erkennen we de cruciale rol die beveiliging speelt bij het leveren van kwaliteitsdiensten aan onze wereldwijde gebruikersbasis. Ondanks onze voortdurende inspanningen om onze systemen te beschermen, die u hier kunt vinden, kunnen er kwetsbaarheden ontstaan. Wij geloven in samenwerking met de beveiligingsonderzoeksgemeenschap om problemen snel en efficiënt te identificeren en op te lossen. We moedigen onderzoekers en ethische hackers aan om op verantwoorde wijze met ons samen te werken om onze digitale omgeving te verbeteren.

Richtlijnen voor het melden van kwestbaarheden

We nodigen beveiligingsonderzoekers en -enthousiastelingen uit om potentiële kwetsbaarheden in onze systemen te melden met begrip en instemming met de volgende richtlijnen:

Contact: Stuur uw bevindingen naar security@webinargeek.com. Verstrek gedetailleerde informatie, inclusief stappen om de kwetsbaarheid te reproduceren, zodat ons beveiligingsteam het probleem snel kan valideren en aanpakken. We zijn ervan overtuigd dat reguliere e-mailversleuteling voldoende is om de vertrouwelijkheid te bieden die nodig is om een kwetsbaarheid te melden. Als u echter van mening bent dat uw kwetsbaarheidsrapport het gebruik van PGP-versleuteling vereist, kunt u onze openbare sleutel onderaan deze pagina vinden.
Erkenning: Wij verbinden ons ertoe om de ontvangst van uw rapport binnen twee werkdagen te bevestigen.
Onderzoek & Oplossing: Ons toegewijde team zal gemelde kwetsbaarheden onderzoeken en streeft ernaar deze binnen een week na bevestiging op te lossen. De complexiteit en ernst van het probleem kunnen de oplossingstijden beïnvloeden.
Vertrouwelijkheid: Wij vragen u om de vertrouwelijkheid van ontdekte kwetsbaarheden te handhaven totdat wij deze hebben opgelost. Wij zullen met u coördineren over de openbare bekendmaking van eventuele bevindingen.
Beloning & Erkenning: Hoewel niet alle rapporten in aanmerking komen voor een beloning, beoordelen wij inzendingen per geval voor mogelijke erkenning of beloning. De aard van de beloning is afhankelijk van de ernst en impact van de ontdekte kwetsbaarheid.
Juridische bescherming: Wij beloven geen juridische stappen te ondernemen tegen personen die kwetsbaarheden melden volgens deze richtlijnen, op voorwaarde dat zij zich niet bezighouden met onwettige activiteiten of misbruik maken van de ontdekte kwetsbaarheid.

Wat we niet accepteren

Poging om toegang te krijgen tot/het downloaden van of het wijzigen van gegevens van anderen.
Denial of service (DoS) attacks.
Spamming.
Social engineering of fysieke aanvallen tegen onze eigendommen of gegevens.

Rewards Program

Beloningen worden bepaald op basis van het risiconiveau van de gemelde beveiligingskwetsbaarheid en zijn ter beoordeling van WebinarGeek.
In het geval van dubbele meldingen wordt de beloning aan de eerste melder verstrekt.
Beloningen zijn onderhevig aan verandering en kunnen variëren afhankelijk van de uniekheid en ernst van de kwetsbaarheid.

Out of Scope

Meldingen van niet-beveiligingsproblemen of -onderzoeken.
Diensten en software van derden die niet rechtstreeks door WebinarGeek worden beheerd.
Openbaar bekende kwetsbaarheden die al zijn aangepakt.
Kwetsbaarheden zoals:
- HTTP 404 codes of andere non HTTP 200 codes
- Versie banners op publieke services
- Clickjacking op pages zolnderlogin
- Cross-site request forgery (CSRF) op formulieren die anoniem toegankelijk zijn
- Gebrek aan 'secure' / 'HTTP Only'-vlaggen op niet-gevoelige cookies
- Meldingen met betrekking tot SSL-certificaat (bijv. zwakke cipher)
- Gebruik van de HTTP OPTIONS-methode
- Host Header Injection
- Gebrek aan SPF, DKIM and DMARC records
- Gebrek aan DNSSEC
- Gebrek aan HTTP Security Headers
- Rapporteren van verouderde versies van software zonder een proof of concept of werkende exploit
- Best practices

Slotverklaring

Uw bijdragen zijn van onschatbare waarde voor de beveiliging en integriteit van onze services. WebinarGeek streeft ernaar openlijk samen te werken met de beveiligingscommunity om kwetsbaarheden op verantwoorde wijze te beperken en op te lossen. We kijken uit naar uw inzendingen en danken u voor uw inspanningen om ons te helpen onze systemen veilig te houden.

Voor verdere vragen of inzendingen kunt u contact opnemen met security@webinargeek.com.

Public PGP key