1. Hoe u meldt
Mail naar security@audact.ai. Wilt u versleutelen, vraag dan in uw eerste bericht om onze publieke PGP-sleutel; die sturen we u toe. Het beveiligingscontact zelf staat op /.well-known/security.txt volgens RFC 9116.
- Een reproduceerbaar proof of concept, of duidelijke stappen om het na te doen.
- De getroffen versie, het endpoint of de URL.
- Welke impact u vermoedt, en hoe u er ongeveer bent gekomen.
- Contactgegevens, en of u met naam genoemd wilt worden als we een vermelding publiceren.
2. Wat er na uw melding gebeurt
Dit zijn de termijnen die we onszelf opleggen. Halen we er een niet, dan hoort u dat van ons. U hoeft er niet achter te komen door te wachten.
- Binnen 48 uur. We bevestigen de melding en zeggen wie hem behandelt.
- Binnen 5 werkdagen. We komen terug met een eerste beoordeling: of we het konden reproduceren en hoe we de ernst inschatten.
- Tijdens het oplossen. We houden u op de hoogte in een ritme dat we met u afspreken, in plaats van stil te vallen.
- Richttermijn 90 dagen, bespreekbaar. De tijd die we vragen vóór mededeling. Duurt een oplossing langer, dan zeggen we waarom, in plaats van de klok stilzwijgend te laten aflopen.
3. Safe harbour
Audact onderneemt geen juridische stappen tegen onderzoekers die te goeder trouw handelen, privacyschendingen vermijden, geen klantgegevens meenemen en ons een redelijke termijn geven om te verhelpen vóór mededeling.
Te goeder trouw handelen betekent: stoppen zodra u een probleem heeft bevestigd in plaats van dieper te gaan, de dienst voor anderen niet verstoren, en geen gegevens van anderen opvragen, wijzigen of bewaren. Twijfelt u of iets binnen de reikwijdte valt, vraag het dan vooraf. We beantwoorden liever een vraag dan dat we achteraf over een grens discussiëren.
4. Erkenning
Er is vandaag geen geldbeloning. Een geldige melding krijgt met uw toestemming een naamsvermelding in de vorm die u prettig vindt, en we bevestigen de bevinding schriftelijk als u iets nodig heeft voor een portfolio of een CVE-aanvraag.
Verandert dat, dan wordt het op deze pagina bekendgemaakt met de datum waarop het ingaat.
5. Contact
security@audact.ai voor alles op deze pagina. Vragen over de beveiligingsarchitectuur, de subverwerkersmatrix of de verwerkersovereenkomst staan op de beveiligingspagina; voor inkoop is dat het Trust Center.