Coordinated Vulnerability Disclosure beleid

For english version, please scroll down or click here

Bij Smeders werken we dagelijks aan een veilige digitale omgeving voor onze klanten. Ondanks onze zorg voor de beveiliging van onze systemen, kan het voorkomen dat er toch een zwakke plek aanwezig is. Als je een kwetsbaarheid ontdekt, horen wij dit graag, zodat we direct maatregelen kunnen treffen.

Onze spelregels

• Meld je bevindingen direct: Mail je bevindingen naar security@smeders.nl. Gebruik indien mogelijk onze PGP-key om de informatie te versleutelen.
• Geef ons de nodige details: Stuur ons de URL, de stappen om het probleem te reproduceren (Proof of Concept) en de mogelijke impact die je voorziet.
• Misbruik het lek niet: Voer geen handelingen uit die verder gaan dan strikt noodzakelijk is om het probleem aan te tonen. Bekijk, verwijder of wijzig geen gegevens van derden.
• Bewijs in plaats van diefstal: Als je toegang krijgt tot een systeem, kopieer, wijzig of verwijder dan geen gegevens. Maak in plaats daarvan een screenshot of een lijst van bestanden (directory listing) om de toegang aan te tonen.
• Geen backdoors: Plaats nooit een backdoor in onze systemen, ook niet om een kwetsbaarheid aan te tonen. Het achterlaten van extra kwetsbaarheden kan grotere schade veroorzaken.
• Houd het vertrouwelijk: Deel de informatie over het lek niet met anderen en houd de kwetsbaarheid geheim totdat wij deze hebben opgelost.
• Systeemstabiliteit: Vermijd het gebruik van agressieve geautomatiseerde scanners en onthoud je van acties die de beschikbaarheid van onze diensten negatief kunnen beïnvloeden (geen DDoS).
• Geen brute force of social engineering: Maak geen gebruik van aanvallen op fysieke beveiliging, social engineering, phishing of brute force technieken.

Wat valt binnen de scope?

Wij nemen meldingen in behandeling die betrekking hebben op de veiligheid van door Smeders beheerde websites. Dit omvat:

• Eigen code: Kwetsbaarheden in door ons ontwikkelde thema’s, plugins en maatwerk.
• Configuratie: Fouten in de instellingen van de website of server die tot beveiligingsrisico’s leiden.
• Achterstallig onderhoud: Bekende kwetsbaarheden in gebruikte software (zoals WordPress core of plugins) die door ons nog niet zijn gepatcht of geüpdatet.

Buiten de scope vallen:

• Software van derden: Kwetsbaarheden in standaardsoftware van partijen zoals Microsoft (bijv. Windows, Outlook, Azure), Google, of specifieke CMS-core bestanden (tenzij het een foutieve configuratie door ons betreft). Meld deze direct bij de betreffende leverancier.
• Triviale zaken: Meldingen over het ontbreken van HTTP-headers (zoals X-Frame-Options) of ontbrekende SPF-records, tenzij je kunt aantonen dat dit tot een direct misbruikbaar risico leidt.

Inhoud en Bedrijfsvoering van Klanten

Smeders ontwikkelt en beheert de technische infrastructuur voor haar klanten. Wij zijn echter niet verantwoordelijk voor de inhoud van deze websites, de bedrijfsvoering van onze klanten of de wijze waarop zij met hun eigen data omgaan. De volgende zaken vallen daarom uitdrukkelijk buiten de scope van dit CVD-beleid:

• Vragen of klachten over de inhoud of diensten van websites van onze klanten.
• Meldingen van oplichting of fraude door derden die gebruikmaken van onze hosting.
• Datalekken veroorzaakt door menselijk handelen aan de zijde van de klant (bijv. het uitlekken van inloggegevens door een medewerker van de klant).

Voor dergelijke zaken kan je contact opnemen met de betreffende website-eigenaar of gebruikmaken van ons reguliere abuse-kanaal via abuse@smeders.nl.

Wat we graag ontvangen

• Een duidelijke omschrijving van de kwetsbaarheid.
• Het volledige adres (URL) waar het probleem zich voordoet.
• De stappen die nodig zijn om het probleem te reproduceren (een zogenaamde ‘Proof of Concept’).
• De mogelijke impact die het lek kan hebben.

Juridische bescherming (Safe Harbor)

Wij beloven dat wij geen juridische stappen tegen je zullen ondernemen of aangifte zullen doen, mits je je strikt houdt aan de spelregels zoals geformuleerd in dit beleid.

Procedure en responstijd

Wij behandelen je melding vertrouwelijk en informeren je over de voortgang van de oplossing. Wij hanteren hierbij de volgende termijnen:

• Bevestiging: Binnen 3 tot 5 werkdagen ontvang je een reactie.
• Geen reactie? Als je na 7 werkdagen niets hoort, is de melding mogelijk al bekend of geblokkeerd door een spamfilter. Stuur ons in dat geval gerust een herinnering.

Privacy: Wij gebruiken je persoonsgegevens alleen om je melding af te handelen en met je te communiceren. Wij delen je gegevens niet met derden zonder je toestemming, tenzij wij hiertoe wettelijk verplicht zijn.

Beloningen

Wij waarderen je hulp bij het beveiligen van onze systemen. Voor meldingen van daadwerkelijke kwetsbaarheden bieden wij geen financiële vergoeding of materiële beloningen aan. Wel sturen wij je een persoonlijk bericht met onze dankbaarheid voor je bijdrage aan de veiligheid van onze klanten.

Coordinated Vulerability Disclosure English

At Smeders, we work daily to ensure a secure digital environment for our clients. Despite our commitment to the security of our systems, vulnerabilities may still occur. If you discover a vulnerability, please let us know so that we can take immediate action.

Our Rules

• Report your findings immediately: Email your findings to security@smeders.nl. If possible, use our PGP-key to encrypt the information.
• Do not exploit the vulnerability: Do not perform any actions beyond what is strictly necessary to demonstrate the issue. Do not view, delete, or modify third-party data.
• Evidence over theft: If you gain access to a system, do not copy, modify, or remove data. Instead, create a (directory) listing or a screenshot to prove access.
• No backdoors: Never place a backdoor in our systems, not even to demonstrate a vulnerability.
• Maintain confidentiality: Keep the vulnerability confidential until we have resolved it. Do not disclose the issue to others.
• System stability: Avoid aggressive automated scanning and refrain from any actions that negatively impact the availability of our services.
• No brute force or social engineering: Do not use attacks on physical security, social engineering, distributed denial of service (DDoS), or phishing.

What is in scope?

We process reports regarding the security of websites managed by Smeders. This includes:

• Custom code: Vulnerabilities in themes, plugins, and custom code developed by us.
• Configuration: Errors in website or server settings that lead to security risks.
• Maintenance issues: Known vulnerabilities in third-party software (such as WordPress core or plugins) that have not yet been patched or updated by us.

Out of scope:

• Third-party software: Vulnerabilities in standard software from parties such as Microsoft (e.g., Windows, Outlook, Azure), Google, or specific CMS core files (unless it concerns a misconfiguration by us). Please report these directly to the respective vendor.
• Trivial matters: Reports regarding missing HTTP headers (such as X-Frame-Options) or missing SPF records, unless you can demonstrate a directly exploitable risk.

Client Content and Operations

Smeders develops and manages the technical infrastructure for its clients. However, we are not responsible for the content of these websites, the business operations of our clients, or the way they handle their own data. The following matters are therefore explicitly out of scope for this CVD policy:

• Questions or complaints regarding the content or services of our clients’ websites.
• Reports of scams or fraud by third parties using our hosting.
• Data breaches caused by human error on the client side (e.g., leaking of login credentials by a client’s employee).

For such matters, please contact the respective website owner or use our regular abuse channel via abuse@smeders.nl.

What we would like to receive

• A clear description of the vulnerability.
• The full address (URL) where the issue occurs.
• The steps required to reproduce the issue (a so-called ‘Proof of Concept’).
• The potential impact of the vulnerability.

Legal Protection (Safe Harbor)

We promise that we will not take legal action or report you to the authorities, provided that you strictly adhere to the rules as formulated in this policy.

Procedure and Response Time

We will treat your report confidentially and keep you informed of the progress toward a solution. We apply the following timeframes:

• Confirmation: You will receive a response within 3 to 5 business days.
• No response? If you have not heard from us after 7 business days, the report may already be known internally or may have been blocked by a spam filter. In that case, feel free to send us a short reminder at the same address.

Privacy: We only use your personal data to handle your report and communicate with you. We do not share your data with third parties without your permission, unless we are legally required to do so.

Rewards

We appreciate your help in securing our systems. For reports of actual vulnerabilities, we offer no financial compensation or material rewards. We will, however, send you a personal message with our gratitude for your contribution to the security of our clients.