Beleid voor het melden van kwetsbaarheden

Conceptbeleid

Dit beleid is opgesteld ter beoordeling en nog niet van kracht. Totdat het is gepubliceerd, gelden de Servicevoorwaarden.

01Onze toezegging

Verkopers rekenen op PapelShip voor het ontvangen van betalingen en op qPapel voor de beveiliging van hun software. Wij verwelkomen meldingen van onderzoekers die beveiligingsproblemen vinden en ons willen helpen deze te verhelpen.

02Reikwijdte

Binnen de reikwijdte

papelship.com en het PapelShip-dashboard.
De gehoste checkout en webshops op mypapel.com.
De PapelShip-API, webhooks en de authenticatieservers van qPapel.
De SDK's van qPapel voor C++ en C#.

Buiten de reikwijdte

Denial-of-serviceaanvallen, belastingtests of pogingen om de beschikbaarheid aan te tasten.
Social engineering, phishing of fysieke aanvallen op medewerkers of kantoren.
Content, code of configuraties die onder beheer van individuele verkopers staan.
Diensten van derden die wij gebruiken; deze dienen bij de eigenaren daarvan te worden gemeld.
Bevindingen zonder aangetoonde gevolgen voor de beveiliging, zoals ontbrekende headers op statische pagina's.

03Hoe u een melding doet

Stuur een e-mail naar [email protected] met als onderwerp “Security report”. Vermeld daarin:

Een beschrijving van het probleem en de mogelijke gevolgen ervan.
De betreffende URL, het eindpunt, de SDK-versie of het onderdeel.
De stappen om het probleem te reproduceren en, waar mogelijk, een proof of concept.
Of en, zo ja, hoe u vermeld wilt worden.

04Regels voor onderzoek

Test uitsluitend op accounts en webshops waarvan u eigenaar bent, of met uitdrukkelijke toestemming.
Raadpleeg, wijzig of verwijder geen gegevens van andere gebruikers; staak uw onderzoek en doe onmiddellijk een melding zodra u toegang tot dergelijke gegevens krijgt.
Gebruik een bevinding niet om de qPapel-beveiliging van een andere verkoper te omzeilen of om licenties te verkrijgen.
Voer geen geautomatiseerde scans uit die veel verkeer genereren.
Houd de details vertrouwelijk totdat wij hebben bevestigd dat het probleem is verholpen.

05Onderzoek te goeder trouw

Indien u dit beleid naleeft, te goeder trouw handelt en ons een redelijke termijn geeft om te reageren, zullen wij vanwege uw onderzoek geen juridische stappen tegen u ondernemen en zullen wij met u samenwerken om het probleem te begrijpen en op te lossen.

06Wat u van ons kunt verwachten

Wij bevestigen de ontvangst van uw melding, houden u op de hoogte tijdens ons onderzoek en laten u weten wanneer het probleem is opgelost. Wij hebben momenteel geen betaald bugbountyprogramma.

02Reikwijdte

Binnen de reikwijdte

papelship.com en het PapelShip-dashboard.
De gehoste checkout en webshops op mypapel.com.
De PapelShip-API, webhooks en de authenticatieservers van qPapel.
De SDK's van qPapel voor C++ en C#.

Buiten de reikwijdte

Denial-of-serviceaanvallen, belastingtests of pogingen om de beschikbaarheid aan te tasten.
Social engineering, phishing of fysieke aanvallen op medewerkers of kantoren.
Content, code of configuraties die onder beheer van individuele verkopers staan.
Diensten van derden die wij gebruiken; deze dienen bij de eigenaren daarvan te worden gemeld.
Bevindingen zonder aangetoonde gevolgen voor de beveiliging, zoals ontbrekende headers op statische pagina's.

03Hoe u een melding doet

Stuur een e-mail naar [email protected] met als onderwerp “Security report”. Vermeld daarin:

Een beschrijving van het probleem en de mogelijke gevolgen ervan.
De betreffende URL, het eindpunt, de SDK-versie of het onderdeel.
De stappen om het probleem te reproduceren en, waar mogelijk, een proof of concept.
Of en, zo ja, hoe u vermeld wilt worden.

04Regels voor onderzoek

Test uitsluitend op accounts en webshops waarvan u eigenaar bent, of met uitdrukkelijke toestemming.
Raadpleeg, wijzig of verwijder geen gegevens van andere gebruikers; staak uw onderzoek en doe onmiddellijk een melding zodra u toegang tot dergelijke gegevens krijgt.
Gebruik een bevinding niet om de qPapel-beveiliging van een andere verkoper te omzeilen of om licenties te verkrijgen.
Voer geen geautomatiseerde scans uit die veel verkeer genereren.
Houd de details vertrouwelijk totdat wij hebben bevestigd dat het probleem is verholpen.