Verantwoord melden

Mail je bevinding naar security@zorgflow.ai. Beschrijf wat je hebt gevonden, welke stappen nodig zijn om het te reproduceren en wat volgens jou de impact is. Een machineleesbare verwijzing naar dit beleid staat op /.well-known/security.txt.

Stuur geen cliëntgegevens mee. Trof je die tijdens je onderzoek aan, benoem dan dát je ze kon inzien, niet wát je zag.

• Binnen twee werkdagen een ontvangstbevestiging, met een eerste inschatting
• We houden je op de hoogte van de voortgang tot het is opgelost
• We doen geen aangifte en ondernemen geen juridische stappen tegen wie te goeder trouw en binnen dit beleid onderzoek doet
• Naamsvermelding bij de oplossing als je dat wilt; anoniem melden kan ook
• We behandelen je melding vertrouwelijk en delen je gegevens niet zonder overleg

• Ga niet verder dan nodig is om de kwetsbaarheid aan te tonen: geen gegevens kopiëren, wijzigen of verwijderen
• Deel de bevinding niet met anderen voordat het is opgelost
• Gebruik geen aanvallen die de beschikbaarheid raken en geen social engineering

• Denial-of-service en volumetrische aanvallen
• Social engineering, phishing en fysieke toegang
• Bevindingen uit geautomatiseerde scanners zonder aangetoonde impact
• Ontbrekende best practices zonder uitbuitbaar gevolg, zoals een header-instelling op zichzelf