Kwetsbaarheid melden

Stookweer is een hobbyproject van één persoon. Ik doe mijn best om de site veilig te houden, maar er kan altijd iets mis zijn. Heb je een zwakke plek gevonden? Laat het me weten, dan los ik het zo snel mogelijk op. Ik volg daarbij de Leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum.

• Mail naar security@stookweer.nl.
• Beschrijf het adres (URL), de stappen om het probleem na te doen en wat iemand er volgens jou mee kan. Laat weten hoe ik je kan bereiken. Anoniem melden mag ook.
• Meld het zo snel mogelijk nadat je het hebt gevonden.

• Wel: stookweer.nl en alle subdomeinen.
• Niet: de diensten van anderen die Stookweer gebruikt, zoals PDOK (Kadaster), Open-Meteo, GoatCounter en Cloudflare. Meld die bij die partijen zelf.
• Liever niet melden: ontbrekende beveiligingsheaders zonder concreet misbruik, clickjacking op pagina's zonder gevoelige handelingen, versie-informatie, self-XSS, uitkomsten van scanners zonder uitleg, en aanvallen die de site platleggen.

Dit mag je niet doen:

• Malware plaatsen, wachtwoorden raden (brute force) of mensen misleiden (social engineering).
• De site overbelasten of platleggen.
• Gegevens wijzigen of verwijderen, of meer gegevens bekijken of kopiëren dan nodig is om het probleem aan te tonen.
• Een achterdeur achterlaten, ook niet om aan te tonen dat het probleem bestaat.
• Het probleem delen of publiceren voordat het is opgelost.

• Binnen 5 werkdagen een bevestiging dat ik je melding heb ontvangen, en binnen 10 werkdagen een eerste beoordeling. Dit is een hobbyproject, dus heel soms duurt het iets langer.
• Ik probeer het probleem binnen 60 dagen op te lossen en houd je op de hoogte.
• Houd je je aan de spelregels, dan doe ik geen aangifte en begin ik geen rechtszaak tegen je. Het Openbaar Ministerie beslist zelf of het vervolgt; daar kan ik niets over beloven.
• Ik behandel je melding vertrouwelijk en deel je gegevens niet zonder je toestemming, tenzij de wet mij daartoe verplicht. Gaat het om een datalek, dan meld ik dat mogelijk bij de Autoriteit Persoonsgegevens. Je naam geef ik daarbij alleen door als je dat goedvindt.
• Over het probleem publiceren doen we samen, nadat het is opgelost.

Stookweer verdient niets en heeft geen budget, dus er is geen geldbeloning. Als je dat wilt, zet ik je naam hieronder.

Nog niemand. Word jij de eerste?