1. Doel
Beveiliging is een vak dat wij serieus nemen. Als u denkt een kwetsbaarheid te hebben ontdekt die de infrastructuur of diensten van Merlon treft, horen wij dat graag. Deze pagina beschrijft hoe u dit meldt en wat u van ons kunt verwachten.
2. Reikwijdte
Binnen de reikwijdte:
- Webeigendommen onder
merlon-security.euen de bijbehorende subdomeinen. - Publiek toegankelijke infrastructuur beheerd door Merlon.
Buiten de reikwijdte:
- Diensten, leveranciers of platforms van derden die niet door ons worden beheerd.
- Social engineering gericht op medewerkers, klanten of partners.
- Fysieke aanvallen op kantoren, medewerkers of hardware.
- Denial-of-service-, volumetrische of resource-uitputtingstests.
- Meldingen die uitsluitend zijn gebaseerd op geautomatiseerde scanneroutput zonder aangetoonde impact.
3. Hoe te melden
Mail naar security@merlon-security.eu. Schrijf in het Engels of Nederlands. Heeft u versleutelde communicatie nodig, vermeld dit dan in uw eerste bericht en wij regelen een sleuteluitwisseling.
4. Wat u moet vermelden
- Een duidelijke beschrijving van het probleem en de impact ervan.
- De betrokken URL, asset of component.
- Stapsgewijze instructies om het probleem te reproduceren, inclusief eventuele payloads.
- Uw inschatting van de ernst en, indien u die heeft, een voorgestelde mitigatie.
- Of u na afhandeling vermeld wilt worden.
5. Onze toezeggingen
- Wij bevestigen uw melding snel, doorgaans binnen enkele werkdagen.
- Wij onderzoeken de melding te goeder trouw en houden u op de hoogte van relevante voortgang.
- Wij ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw handelen binnen bovenstaande reikwijdte.
- Wij vermelden u publiekelijk na afhandeling indien u dat wenst.
6. Vrijwaring
Onderzoek dat te goeder trouw en binnen bovenstaande reikwijdte wordt uitgevoerd, wordt beschouwd als geautoriseerd. Wij starten of ondersteunen geen juridische stappen tegen u voor onbedoelde, te goeder trouw begane overtredingen van dit beleid. Deze vrijwaring geldt niet voor activiteiten die opzettelijk schade toebrengen aan gebruikers, gegevens exfiltreren buiten wat nodig is om het probleem aan te tonen, of de privacy van derden schenden.
7. Gecoördineerde openbaarmaking
Wij hanteren een gecoördineerd openbaarmakingsmodel. Onze standaardtermijn is maximaal 90 dagen vanaf de datum waarop een geldige melding is bevestigd, waarna de bevinding openbaar gemaakt kan worden. Wij gaan graag akkoord met een kortere of langere termijn wanneer dit gebruikers wezenlijk helpt.