Beleid voor verantwoorde melding van kwetsbaarheden
Dutch text first, English text below.
Nederlands
Wij nemen de beveiliging van TrainHelder en de gegevens van onze gebruikers serieus. Heeft u een kwetsbaarheid gevonden, dan horen wij dat graag, zodat wij haar kunnen verhelpen.
Hoe meldt u
- Stuur uw melding naar security@trainhelder.nl. Gebruik het contactformulier niet voor beveiligingsmeldingen en stuur geen gevoelige gegevens mee die u niet nodig heeft om het probleem aan te tonen.
- Beschrijf wat u gevonden heeft, waar (URL of onderdeel), de stappen om het te reproduceren en de mogelijke impact.
- Versleutelde communicatie is mogelijk op verzoek. [PGP-sleutel of alternatief: te bevestigen.]
Wat u van ons mag verwachten
- Een bevestiging van ontvangst binnen 3 werkdagen.
- Een inhoudelijke reactie binnen 10 werkdagen, met onze beoordeling en een verwachte oplostermijn.
- Wij houden u op de hoogte van de voortgang en melden wanneer het probleem is opgelost.
- Wij behandelen uw melding vertrouwelijk, nemen geen juridische stappen tegen u wanneer u zich aan dit beleid houdt, en noemen u op uw verzoek bij de bekendmaking.
- Wij bieden op dit moment geen geldelijke beloning.
Wat wij van u vragen
- Gebruik de kwetsbaarheid niet verder dan nodig is om haar aan te tonen; kopieer, wijzig of verwijder geen gegevens van anderen.
- Voer geen aanvallen uit die de beschikbaarheid verstoren (denial of service), geen social engineering en geen fysieke aanvallen.
- Geef ons redelijke tijd om het probleem te verhelpen voordat u het openbaar maakt, en deel het niet met derden.
- Doe geen tests op de gegevens of accounts van andere gebruikers dan uzelf.
Buiten scope: problemen die alleen voorkomen in verouderde browsers, ontbrekende best practices zonder aantoonbaar risico, spam of geautomatiseerde scanresultaten zonder uitleg.
Een echte noodsituatie meldt u niet hier: bel 112. TrainHelder is een oefenomgeving en belt nooit een echte hulpdienst.
English
We take the security of TrainHelder and its users’ data seriously. If you have found a vulnerability, please tell us so that we can fix it.
How to report
- Send your report to security@trainhelder.nl. Do not use the contact form for security reports, and do not include sensitive data beyond what is needed to demonstrate the issue.
- Describe what you found, where (URL or component), the steps to reproduce it and the potential impact.
- Encrypted communication is available on request. [PGP key or alternative: to be confirmed.]
What you can expect from us
- Acknowledgement of receipt within 3 working days.
- A substantive response within 10 working days, with our assessment and an expected time to fix.
- Progress updates, and a notice when the issue is resolved.
- Confidential handling of your report, no legal action against you if you act within this policy, and credit in the disclosure if you wish.
- We currently do not offer a monetary reward.
What we ask of you
- Do not exploit the vulnerability beyond what is necessary to demonstrate it; do not copy, modify or delete other people’s data.
- No denial-of-service attacks, social engineering or physical attacks.
- Give us reasonable time to fix the issue before making it public, and do not share it with third parties.
- Do not test against the data or accounts of users other than yourself.
Out of scope: issues only present in outdated browsers, missing best practices without demonstrable risk, spam, or unexplained automated scanner output.
A real emergency is not reported here: call 112. TrainHelder is a training environment and never calls a real emergency service.
Draft policy - to be reviewed by the security officer and legal counsel before publication.