Melden

Mail je melding naar security@delta.school. Vermeld wat je hebt gevonden, hoe we het kunnen reproduceren en eventueel een proof of concept. Gebruik bij voorkeur je eigen testaccount.

Machineleesbare informatie over dit meldpunt staat in /.well-known/security.txt.

Wat je van ons kunt verwachten

bevestiging van je melding binnen twee werkdagen;
een inhoudelijke reactie binnen tien werkdagen met een inschatting en een planning;
afstemming over publicatie: wij publiceren pas na overleg met jou;
geen juridische stappen tegen onderzoek dat te goeder trouw gebeurt en binnen de grenzen hieronder blijft.

Hersteltermijnen

Wij rekenen de hersteltermijn vanaf het moment dat een oplossing beschikbaar is:

kritieke kwetsbaarheid: 14 dagen;
hoge kwetsbaarheid: 30 dagen;
middelmatige of lage kwetsbaarheid: 90 dagen of de eerstvolgende release.

Is er geen oplossing beschikbaar, bijvoorbeeld in een transitieve afhankelijkheid van een framework, dan beoordelen wij de uitbuitbaarheid binnen onze eigen context, documenteren wij het risico en treffen wij zo nodig een compenserende maatregel. Zulke afwijkingen beoordelen wij bij elke release opnieuw.

Grenzen

bekijk, wijzig of verwijder geen gegevens van anderen;
verstoor de dienst niet voor anderen: geen denial-of-service en geen geautomatiseerde scans die zware belasting geven;
maak een kwetsbaarheid niet openbaar voordat er een oplossing is;
geen social engineering of fysieke aanvallen.

Buiten scope

rapporten van geautomatiseerde scanners zonder aantoonbare impact;
ontbrekende best-practice headers zonder aantoonbare kwetsbaarheid;
kwetsbaarheden in diensten van derden; meld die bij de betreffende partij.

Vergoeding en vermelding

Dit is geen beloningsprogramma. Wil je vermeld worden als melder? Laat het weten, dan zetten we je naam erbij.