Kwetsbaarheid melden (CVD)

Stuur je bevinding per e-mail naar info@marcovader.nl. Vermeld daarin:

• welke pagina, functie of URL het betreft;
• wat je hebt gevonden en wat de mogelijke gevolgen zijn;
• de stappen om het na te doen, eventueel met schermafbeeldingen;
• hoe we je kunnen bereiken, en of je met naam bedankt wilt worden.

Je kunt melden in het Nederlands, Engels of Duits. Dit adres staat ook in onze security.txt.

• Maak niet meer misbruik van het probleem dan nodig is om het aan te tonen.
• Bekijk, kopieer, wijzig of verwijder geen gegevens van anderen, zoals e-mailadressen van abonnees. Lukt dat wel, stop dan en meld wat je hebt gezien.
• Voer geen aanvallen uit die de site verstoren of vertragen (denial-of-service), en scan niet zo intensief dat de site er last van krijgt.
• Gebruik geen social engineering, phishing of fysieke toegang, en installeer niets op onze systemen.
• Deel het probleem niet met anderen totdat het is opgelost, en verwijder alle vertrouwelijke gegevens die je hebt verkregen zodra je de melding hebt gedaan.

• Binnen 5 werkdagen een bevestiging dat we je melding hebben ontvangen, met een eerste beoordeling.
• We houden je op de hoogte van de voortgang en streven ernaar het probleem binnen 90 dagen op te lossen. Over het moment van publicatie maken we samen afspraken.
• We behandelen je melding vertrouwelijk en delen je gegevens niet zonder je toestemming.
• Als je je aan dit beleid houdt, doen we geen aangifte en stappen we niet naar de rechter.
• Wil je dat, dan noemen we je na de oplossing met naam in de bedanklijst hieronder.

IACS Radar heeft geen bug bounty-programma: er staat geen financiële beloning tegenover een melding.

Dit beleid geldt voor iacsradar.nl: de website, de RSS-feeds, de e-mailmeldingen en de onderliggende API's.

Niet bij ons melden, maar bij de partij zelf:

• Kwetsbaarheden in OT- en ICS-producten die op IACS Radar staan. Meld die bij de leverancier (de PSIRT), bij CERT@VDE of bij het NCSC. IACS Radar publiceert alleen informatie die leveranciers en overheden al openbaar hebben gemaakt.
• Problemen in de bronnen die we gebruiken (NVD, CISA, EPSS, leveranciersfeeds) of bij de diensten waarop de site draait.

Bevindingen zonder aantoonbaar risico nemen we graag aan, maar zien we niet als kwetsbaarheid. Denk aan versienummers in headers, ontbrekende beveiligingsheaders zonder concreet gevolg, of de uitkomst van een geautomatiseerde scan zonder uitleg.

Hier bedanken we iedereen die een kwetsbaarheid op een verantwoorde manier heeft gemeld. Er staan nog geen meldingen op deze lijst.