VigicapBeveiliging
Een beveiligingslek melden
Vigicap bewaart de beveiligingstekorten van de klanten van zijn gebruikers. Een kwetsbaarheid bij ons is dus nooit een louter intern probleem, en wij horen er liever van een onderzoeker dan van een aanvaller. Op deze pagina staat hoe u er een bij ons meldt en wat wij ons ertoe verbinden in ruil daarvoor te doen.
Hoe u ons bereikt
Stuur een bericht naar onderstaand adres, in het Nederlands, Frans of Engels. Beschrijf de kwetsbaarheid, de stappen om haar te reproduceren en de impact die u inschat. Wilt u uw bericht versleutelen, vraag ons dan in een eerste e-mail zonder technische details om een sleutel.
Dit is een rolgebonden adres, dat op werkdagen wordt gelezen. Het is ook gepubliceerd in ons security.txt-bestand, in het formaat van RFC 9116.
Reikwijdte
Binnen de reikwijdte
- De website vigicap.fr en de subdomeinen daarvan.
- De bureauconsole en de klantomgeving, met inbegrip van hun API's.
- De infrastructuur die wij rechtstreeks beheren, en de configuratie van onze headers, onze cookies en onze authenticatie.
Buiten de reikwijdte
- De diensten van onze subverwerkers (Scaleway, Brevo, Stripe), die hun eigen meldprogramma's hebben.
- De systemen van de klanten van onze gebruikers, waartoe wij u geen toegang mogen verlenen.
- Meldingen uit een automatische scanner zonder aangetoonde impact, en configuratiefouten zonder exploiteerbaar gevolg.
Wat wij u vragen
Deze regels bestaan om de gegevens van derden te beschermen, niet om u te hinderen. Door ze na te leven valt u onder de bescherming die hieronder is beschreven.
- Haal geen gegevens weg, bewaar en openbaar geen gegevens die niet van u zijn. Komt u ze tegen, stop dan en laat het ons weten.
- Voer geen denial-of-serviceaanval, geen belastingtest en geen wijziging of verwijdering van gegevens uit.
- Geen social engineering, geen phishing en geen pogingen tot fysieke toegang gericht op onze medewerkers of onze dienstverleners.
- Gebruik een proefaccount dat u zelf aanmaakt in plaats van het account van een derde.
- Gun ons een redelijke termijn om te herstellen voordat u iets publiceert, en laten wij de datum samen afspreken.
Onze toezeggingen
- Leeft u de bovenstaande regels na, dan zal Vigicap geen gerechtelijke stappen en geen tuchtmaatregelen tegen u ondernemen, en beschouwt het uw onderzoek als toegestaan.
- Wij bevestigen de ontvangst binnen 2 werkdagen.
- Binnen 10 werkdagen geven wij u een eerste kwalificatie — ontvankelijk of niet, en onze inschatting van de ernst.
- Wij houden u op de hoogte tot het herstel en bevestigen u daarna de datum van ingebruikname in productie.
- Met uw instemming vermelden wij u met naam. Wij bieden geen financiële beloning, en wij schrijven dat liever op dan het aan uw veronderstelling over te laten.
security.txt
De contactgegevens op deze pagina zijn ook gepubliceerd op de door RFC 9116 genormaliseerde locatie, die de meeste onderzoekstools automatisch raadplegen.