Beveiligingsbeleid

Laatst bijgewerkt 27 oktober 2026. English version

Gecoördineerde kwetsbaarheidsmelding

Wij nemen de beveiliging van onze systemen serieus. Vind je een kwetsbaarheid, dan horen we dat graag, zodat we die kunnen oplossen. Dit beleid volgt de leidraad Coordinated Vulnerability Disclosure van het NCSC.

Reikwijdte

• accretus.nl en subdomeinen, en de diensten die Accretus daar draait.
• Buiten scope: systemen van derden, waaronder onze hosting-, DNS- en mailproviders. Meld problemen in hun systemen rechtstreeks bij hen.

Zo meld je

• Mail naar security.txt@accretus.nl. Versleutel gevoelige details met onze OpenPGP-sleutel: gpg.txt, fingerprint 1616 BCF3 AF9C 73BB 87F3 9614 018B F37F E1BD 1372.
• Beschrijf het probleem en hoe het te reproduceren is: de URL of het systeem, de stappen en de verwachte impact. Een proof of concept helpt.
• Laat contactgegevens achter, een e-mailadres of telefoonnummer. Anoniem melden mag, maar dan kunnen we je niet op de hoogte houden.
• Nederlands of Engels.

Graag wel

• Meld de kwetsbaarheid zo snel mogelijk nadat je die vindt.
• Doe niet meer dan nodig is om het probleem aan te tonen. Stop zodra dat gelukt is.
• Kom je bij persoonsgegevens of vertrouwelijke gegevens, kopieer, wijzig of verwijder die dan niet. Stop en vertel ons wat je zag.
• Houd het probleem vertrouwelijk tot het is opgelost, en stem publicatie met ons af.

Graag niet

• Denial-of-service- of loadtests uitvoeren, of geautomatiseerde scanners gebruiken in een volume dat de dienst verstoort.
• Social engineering, phishing of spam gebruiken, of fysiek toegang proberen te krijgen tot mensen of gebouwen.
• Malware of backdoors installeren, gegevens wijzigen of verwijderen, of wachtwoorden of instellingen van anderen wijzigen.
• Accounts brute-forcen of meer dan een paar wachtwoorden proberen.
• Systemen van derden aanvallen, of het probleem verder misbruiken dan nodig is om het aan te tonen.

Meestal niet geaccepteerd

Bevindingen zonder aangetoonde beveiligingsimpact, zoals: ontbrekende security headers zonder exploit, versie-informatie, self-XSS, clickjacking op pagina’s zonder gevoelige acties, SPF/DMARC-opmerkingen bij domeinen die geen mail versturen, of niet-geverifieerde uitvoer van geautomatiseerde tools.

Wat wij beloven

• We bevestigen de ontvangst binnen 3 werkdagen.
• Binnen 10 werkdagen geven we onze beoordeling en een verwachte datum voor de oplossing, en houden we je op de hoogte van de voortgang.
• We streven ernaar het probleem binnen 90 dagen op te lossen, en spreken met je af of en hoe het wordt gepubliceerd.
• Handel je te goeder trouw en binnen dit beleid, dan ondernemen we geen juridische stappen tegen je en doen we geen aangifte. Het Openbaar Ministerie en derden kunnen we niet binden.
• We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder je toestemming, tenzij de wet dat vereist.
• Als je wilt, noemen we je in onze hall of fame. We hebben geen bug bounty. Voor een ernstige, goed gemelde bevinding kunnen we, naar eigen inzicht, een kleine blijk van waardering geven.

Op zoek naar een volgende stap?

We hebben een goed netwerk in cybersecurity en brengen talentvolle onderzoekers graag in contact met organisaties daarin. Neem gerust contact op.