Kwetsbaarheid melden

• testtoegankelijkheid.nl en wcagtoolkit.com, en de domeinen die daarheen doorsturen;
• het portaal en het inloggen op deze twee domeinen;
• WCAG Radar: de bookmarklet en de browser-extensie.

Buiten dit beleid vallen:

• diensten van anderen die wij gebruiken, zoals de betaalpagina van Mollie. Meld een lek daarin bij die partij zelf;
• meldingen over ontbrekende headers of instellingen zonder dat je laat zien wat een aanvaller ermee kan.

Mail naar info@properaccess.nl. Zet in je melding:

• het adres of het onderdeel waar het om gaat;
• de stappen waarmee wij het probleem kunnen nadoen;
• hoe we je kunnen bereiken, als dat een ander adres is dan waarmee je mailt.

Je mag in het Nederlands of in het Engels schrijven.

• Bekijk, kopieer of wijzig niet meer gegevens dan nodig is om het probleem aan te tonen. Zie je gegevens van anderen, stop dan en meld het.
• Verwijder of verander geen gegevens van ons of van onze klanten.
• Leg de site niet plat. Dus geen aanvallen die de server overbelasten en geen geautomatiseerde scans die duizenden verzoeken sturen.
• Probeer geen wachtwoorden te raden en zet geen kwaadaardige software neer.
• Benader onze medewerkers of klanten niet om toegang te krijgen.
• Deel het probleem met niemand anders totdat het is opgelost, en verwijder de gegevens die je tijdens je onderzoek hebt gekregen zodra dat zo is.

• We bevestigen dat we je melding hebben ontvangen.
• Binnen 5 werkdagen krijg je een inhoudelijke reactie: hoe we de melding beoordelen en wanneer we verwachten het op te lossen.
• We houden je op de hoogte totdat het probleem is opgelost.
• We behandelen je melding vertrouwelijk. Je naam en gegevens delen we niet zonder je toestemming, tenzij de wet ons daartoe verplicht.
• Houd je je aan de spelregels hierboven, dan doen wij geen aangifte tegen je.
• Wil je dat we je bedanken bij de oplossing, dan noemen we je naam of je schuilnaam. Wil je liever anoniem blijven, dan doen we dat. We betalen geen geldbeloning.

We spreken samen af wanneer het probleem openbaar mag. Het uitgangspunt is 60 dagen na je melding. Is het eerder opgelost, of kost het oplossen meer tijd, dan overleggen we over een andere datum.

Dit beleid volgt de leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum. Wijzigen we het, dan zie je dat aan de datum bovenaan.