Responsible Disclosure

We nemen de beveiliging van Breeze en de gegevens van onze gebruikers serieus. Heb je een kwetsbaarheid gevonden in onze app, website of een van onze systemen? Laat het ons weten, zodat we het kunnen oplossen. We werken graag met je samen om het probleem op te lossen voordat het openbaar wordt.

Hoe je meldt

Mail naar security@breeze.social met:

• Wat de kwetsbaarheid is en waar je die hebt gevonden
• De stappen om het te reproduceren, of een proof of concept
• Je contactgegevens, zodat we contact met je kunnen houden

We lezen meldingen in het Nederlands en Engels. Onze contactgegevens staan ook in onze security.txt.

Wat we van je vragen

• Misbruik de kwetsbaarheid niet verder dan nodig is om haar aan te tonen. Download, wijzig of verwijder geen gegevens die niet van jou zijn, en stop zodra je bij persoonsgegevens van anderen komt.
• Deel de kwetsbaarheid met niemand anders totdat we haar hebben opgelost.
• Gebruik geen social engineering, fysieke aanvallen, denial-of-service, spam, of geautomatiseerde scans die onze dienst verstoren.
• Plaats geen backdoors of malware, en wijzig niets aan onze systemen.

Wat we beloven

• We bevestigen binnen twee werkdagen dat we je melding hebben ontvangen, en laten je daarna onze beoordeling en een verwachte termijn weten.
• We houden je op de hoogte van de voortgang.
• We lossen kwetsbaarheden zo snel op als hun ernst vraagt. Samen met jou spreken we af wanneer de kwetsbaarheid openbaar gemaakt kan worden, uiterlijk 90 dagen na je melding, tenzij we samen iets anders afspreken.
• We doen geen aangifte en ondernemen geen juridische stappen tegen je als je te goeder trouw meldt en je aan bovenstaande regels houdt.
• We behandelen je melding vertrouwelijk en delen je gegevens niet zonder je toestemming.
• Als je dat wilt, noemen we je als vinder zodra de kwetsbaarheid is opgelost.

We hebben geen formeel bug bounty-programma met vaste beloningen. Voor een melding die ons helpt een echt probleem op te lossen, kunnen we naar eigen inzicht een beloning geven, afhankelijk van de ernst en de kwaliteit van de melding.

Buiten scope

• Resultaten van geautomatiseerde scanners zonder aangetoonde impact
• Ontbrekende security headers, cookie-flags of SPF/DKIM/DMARC-records zonder aangetoonde impact
• Clickjacking op pagina's zonder gevoelige acties
• Kwetsbaarheden in diensten van derden die we gebruiken; meld die bij de leverancier