Kwetsbaarheid melden

Mail je bevindingen zo snel mogelijk nadat je de kwetsbaarheid hebt ontdekt. Geef ons genoeg informatie om het probleem te begrijpen en na te bootsen, en vermeld in ieder geval:

• De URL of het onderdeel van MotorMonitor waar de kwetsbaarheid zit.
• Een beschrijving van het probleem en de mogelijke impact.
• De stappen om het probleem na te bootsen, met eventuele screenshots of een proof of concept.
• Je contactgegevens, zodat we je kunnen bereiken met vragen of een update.

• Maak geen misbruik van de kwetsbaarheid en ga niet verder dan nodig is om het probleem aan te tonen.
• Bekijk, wijzig of verwijder geen gegevens van anderen en gebruik waar mogelijk je eigen testaccount. Kom je toch persoonsgegevens tegen, bewaar die dan niet en verwijder ze na je melding.
• Voer geen aanvallen uit op de beschikbaarheid, zoals (D)DoS, en overbelast de site niet met geautomatiseerde scans.
• Gebruik geen social engineering of phishing en richt je niet op onze gebruikers, leveranciers of fysieke locaties.
• Plaats geen malware of backdoors en verander niets aan onze systemen.
• Deel de kwetsbaarheid niet met anderen totdat we het probleem hebben opgelost.

• We reageren binnen 5 werkdagen op je melding met een eerste beoordeling.
• We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder jouw toestemming met derden.
• We houden je op de hoogte van de voortgang en streven ernaar het probleem binnen 90 dagen op te lossen.
• Houd je je aan de voorwaarden op deze pagina, dan doen we geen aangifte en ondernemen we geen juridische stappen tegen je vanwege je melding.
• Als je dat wilt, vermelden we je naam als ontdekker zodra het probleem is opgelost.

Deze regeling geldt voor motormonitor.nl, onze subdomeinen en de API's van MotorMonitor. Niet onder deze regeling vallen:

• Kwetsbaarheden in websites van derden, zoals de verkoopsites en dealerwebsites waarvan we advertenties tonen. Meld die bij de betreffende partij.
• Resultaten van geautomatiseerde scanners zonder aangetoonde impact.
• Ontbrekende beveiligingsheaders, cookie-attributen of e-mailinstellingen (SPF, DKIM, DMARC) zonder concreet misbruikscenario.
• Clickjacking op pagina's zonder gevoelige acties, en self-XSS.
• Ontbrekende rate limiting op formulieren of endpoints die niet gevoelig zijn.
• Meldingen over softwareversies zonder werkende aanval.

MotorMonitor heeft geen bugbountyprogramma, dus we betalen geen vast bedrag per melding. We zijn wel blij met elke melding die MotorMonitor veiliger maakt.