Beveiliging en melden van kwetsbaarheden

Wij nemen de beveiliging van payed.me en van de gegevens van onze gebruikers serieus. Denkt u een kwetsbaarheid te hebben gevonden, dan horen wij dat graag.

Zo meldt u het

Mail naar support@payed.me met "Security" in het onderwerp. Vermeld daarbij:

• de betreffende URL of functie;
• duidelijke stappen om het probleem te reproduceren;
• wat een aanvaller daadwerkelijk kan bereiken, met bewijs.

Wij streven ernaar geldige meldingen binnen 5 werkdagen te bevestigen en houden u op de hoogte terwijl we ze oplossen.

Regels voor onderzoek te goeder trouw

• Test alleen met accounts die van u zijn of waarvoor u toestemming hebt.
• Bekijk, wijzig of verwijder geen gegevens van andere gebruikers. Komt u er per ongeluk bij, stop dan en laat het ons weten.
• Voer geen denial-of-service-, spam- of social-engineeringaanvallen uit en test de fysieke beveiliging niet.
• Geef ons redelijke tijd om een probleem op te lossen voordat u het openbaar maakt.

Als u zich aan deze regels houdt, ondernemen wij geen juridische stappen tegen u vanwege uw onderzoek.

Bug bounty

Wij hebben geen betaald bug-bountyprogramma en betalen niet voor ongevraagde meldingen.Wij zijn dankbaar voor verantwoorde melding, maar verzoeken om betaling, of details achterhouden tot er betaling is afgesproken, veranderen niets aan hoe wij een melding behandelen.

Buiten scope

Het volgende beschouwen wij op zichzelf niet als kwetsbaarheid:

• meldingen van geautomatiseerde scanners zonder aangetoonde, misbruikbare impact;
• clickjacking op pagina’s zonder gevoelige actie, of ontbrekende headers die als best practice gelden;
• e-mailconfiguratie (SPF, DKIM, DMARC) en e-mailspoofing;
• problemen die een gecompromitteerd apparaat, fysieke toegang of een verouderde browser vereisen;
• rate limiting of brute force op endpoints die geen authenticatie betreffen;
• het tonen van softwareversies of uitgebreide foutmeldingen;
• kwetsbaarheden in diensten van derden die wij gebruiken, zoals Stripe.