Responsible disclosure
Een beveiligingsprobleem gevonden in een van onze systemen? Meld het eerst bij ons, geef ons tijd om het op te lossen, en we werken met je samen, niet tegen je.
1. Hoe je meldt
Mail naar development@luvarly.com. Beschrijf wat je gevonden hebt, waar (de URL of het systeem), de stappen om het na te doen en wat een aanvaller ermee zou kunnen. Screenshots of een korte proof of concept helpen. Nederlands, Engels en Duits zijn allemaal prima.
Laat een manier achter om je te bereiken. Anoniem of onder een pseudoniem melden mag, maar dan kunnen we je niet op de hoogte houden.
2. Wat binnen scope valt
luvarly.com en de subdomeinen ervan, inclusief de diensten die daarop draaien.
Websites en software die we voor klanten bouwen of hosten, zijn van die klanten. Test ze niet zonder schriftelijke toestemming van de eigenaar. Kom je er bij toeval een probleem in tegen, meld het dan bij ons en wij geven het door aan de eigenaar.
Niet binnen scope: meldingen uit automatische scanners zonder aangetoonde impact, zoals alleen ontbrekende security headers, cookie-instellingen, TLS-instellingen of e-mailbeleid (SPF, DKIM, DMARC). Meld ze toch als je kunt laten zien hoe ze te misbruiken zijn.
Wil je je eigen systemen laten testen? Dat doet onze cybersecuritydienst.
3. Wat we van je vragen
Meld het probleem zo snel mogelijk bij ons, en deel het niet met anderen totdat het is opgelost.
Doe niet meer dan nodig is om het probleem aan te tonen. Bekijk, kopieer, wijzig of verwijder geen gegevens die niet van jou zijn. Kom je per ongeluk bij persoonsgegevens, stop dan, meld het en verwijder wat je hebt.
Gebruik geen denial of service, social engineering, phishing, fysieke toegang, spam of brute force, en plaats geen backdoor of malware, ook niet om iets aan te tonen.
Houd automatisch scannen zo licht dat onze systemen en andere gebruikers er niets van merken.
4. Wat wij beloven
We bevestigen je melding binnen drie werkdagen en geven binnen tien werkdagen onze beoordeling en een verwachte datum voor de oplossing. We houden je op de hoogte tot het probleem is opgelost en streven ernaar het binnen 90 dagen op te lossen.
Houd je je aan deze regels, dan nemen we geen juridische stappen tegen je en doen we geen aangifte vanwege je melding.
We behandelen je melding vertrouwelijk en delen je gegevens niet zonder je toestemming, tenzij de wet dat verplicht. We gebruiken ze alleen om je melding af te handelen. Je rechten daarover staan in onze privacyverklaring.
Zit het probleem in het systeem van een klant, dan delen we je melding met die klant, zonder jouw gegevens tenzij je daarmee instemt.
We hebben geen betaald bug bounty-programma. Voor een ernstige, goed onderbouwde melding kunnen we naar eigen inzicht een kleine blijk van waardering sturen.