Beleid voor kwetsbaarheidsmeldingen

1. Reikwijdte

Dit beleid geldt voor openbare websites, gehoste applicaties en API's die worden beheerd door Sytance Technologies Limited en naar deze pagina linken, waaronder de Sytance-dienst.

Klantomgevingen, door Klanten beheerde systemen, diensten van derden, integraties, open-sourceprojecten die wij niet onderhouden en infrastructuur die wij niet bezitten of beheren, vallen buiten de reikwijdte. Een onderdeel van een derde partij dat Sytance gebruikt, valt alleen binnen de reikwijdte voor zover uw melding het effect ervan op een door Sytance beheerde dienst betreft.

Als het eigendom of de reikwijdte onduidelijk is, neem dan contact op via security@sytance.com en wacht op bevestiging voordat u verdergaat.

2. Toegestaan beveiligingsonderzoek te goeder trouw

Beveiligingsonderzoek is op grond van dit beleid alleen toegestaan wanneer het te goeder trouw wordt uitgevoerd, binnen de reikwijdte blijft, de onderstaande regels volgt en beperkt is tot wat redelijkerwijs nodig is om een vermoedelijke kwetsbaarheid te bevestigen en te melden.

• Gebruik uitsluitend accounts en gegevens die van u zijn of waarvoor u toestemming hebt.
• Voer alleen de minimaal noodzakelijke tests uit om het probleem te bevestigen en houd het aantal verzoeken laag genoeg om de Dienst of andere gebruikers niet te beïnvloeden.
• Stop onmiddellijk als u gegevens, inloggegevens of vertrouwelijke informatie van een ander tegenkomt.
• Bewaar of wijzig geen grote hoeveelheden gegevens, verwijder of maak deze niet openbaar en download ze niet.
• Vestig geen persistentie, zet geen malware in en gebruik een kwetsbaarheid niet voor een ander doel dan validatie en melding.
• Meld het probleem zo spoedig mogelijk, houd de details vertrouwelijk en geef ons een redelijke gelegenheid om het te onderzoeken en aan te pakken.

3. Verboden tests

• Denial-of-service-, belasting-, stresstests of tests die bronnen uitputten.
• Social engineering, phishing, credential stuffing of password spraying.
• Fysieke aanvallen of tests van faciliteiten en infrastructuur van derden.
• Destructieve activiteiten, beschadiging van gegevens, grootschalig aanmaken van accounts of geautomatiseerd scannen met hoge volumes.
• Tests die de wet of de rechten van een ander schenden.
• Bedreigingen, afpersing of betalingseisen.

4. Wat u in een melding moet opnemen

Een beknopte melding met reproductiestappen helpt ons het probleem veilig te beoordelen en sneller te reageren. Vermeld indien beschikbaar het volgende:

• Het betrokken domein, de URL, API-route, functie of component.
• Een duidelijke beschrijving van de kwetsbaarheid en de mogelijke impact.
• Reproductiestappen met een testaccount en opgeschoonde gegevens.
• Een minimaal proof of concept, verzoek en antwoord, schermafbeelding of fragment uit een logboek.
• Eventuele randvoorwaarden en genomen veiligheidsmaatregelen.
• Uw gewenste contactgegevens.

5. Streeftermijnen voor reacties

Wij streven ernaar de ontvangst van een voldoende volledige melding binnen drie werkdagen te bevestigen en binnen tien werkdagen de eerste resultaten van de beoordeling te geven. Zolang een bevestigd probleem actief wordt onderzocht, streven wij ernaar ten minste elke tien werkdagen inhoudelijke voortgang te melden als de melder geldige contactgegevens heeft verstrekt.

Een werkdag is maandag tot en met vrijdag, met uitzondering van officiële feestdagen in Hongkong. Dit zijn streeftermijnen voor communicatie, geen gegarandeerde termijnen voor herstel. Een onvolledige melding, een groot aantal inzendingen, ongebruikelijke technische complexiteit of afhankelijkheid van een derde partij kan de doorlooptijd verlengen; waar praktisch mogelijk melden wij dan een aangepaste verwachting.

6. Hoe wij een melding behandelen

• Ontvangst en registratie — wij registreren de melding, controleren of het getroffen onderdeel binnen de reikwijdte valt en stellen een contactkanaal met de melder vast.
• Triage en reproductie — wij beoordelen de verstrekte informatie, proberen het gedrag te reproduceren, verwijderen duplicaten en vragen zo nodig om verduidelijking.
• Risicobeoordeling en prioritering — als de melding wordt gevalideerd, beoordelen wij ernst, misbruikbaarheid, getroffen gegevens en gebruikers, blootstelling, compenserende maatregelen en aanwijzingen voor actief misbruik.
• Herstel en verificatie — het verantwoordelijke team ontwikkelt een beperking of oplossing, test deze, beheert relevante release- of afhankelijkheden van derden en verifieert het resultaat.
• Afsluiting en openbaarmaking — wij informeren de melder over de uitkomst die wij kunnen delen, coördineren eventuele openbare openbaarmaking en beoordelen of een beveiligingsadvies of erkenning passend is.

7. Bescherming bij onderzoek te goeder trouw

Als u te goeder trouw probeert dit beleid te volgen, beschouwen wij uw onderzoek als toegestaan voor zover wij die toestemming wettelijk kunnen verlenen en starten wij niet uitsluitend wegens onbedoeld gedrag te goeder trouw binnen de reikwijdte ervan juridische stappen.

Als een derde partij juridische stappen tegen u onderneemt wegens activiteiten die aan dit beleid voldeden, kunnen wij bevestigen dat de activiteiten zijn uitgevoerd binnen ons proces voor kwetsbaarheidsmeldingen. Wij kunnen geen toestemming verlenen namens een andere organisatie en beloven niet hoe een derde partij of overheidsinstantie zal reageren.

Deze bescherming staat geen onwettig, roekeloos, kwaadwillig of afpersend gedrag toe, doet geen afstand van de rechten van anderen en geldt niet voor gedrag dat wordt voortgezet nadat wij u hebben gevraagd te stoppen.

8. Gecoördineerde openbaarmaking en erkenning

Houd een vermoedelijke kwetsbaarheid, proof of concept, informatie over getroffen Klanten en details van herstel vertrouwelijk terwijl wij onderzoek doen. Wij streven doorgaans naar gecoördineerde openbaarmaking binnen 90 kalenderdagen nadat wij de ontvangst van een voldoende volledige melding hebben bevestigd. Neem vóór publicatie contact met ons op zodat wij de technische reikwijdte en een datum kunnen afspreken waarop gebruikers zich kunnen beschermen.

De passende datum voor openbaarmaking kan eerder of later zijn afhankelijk van de ernst, actief misbruik, risico voor Klanten, gereedheid van de release en getroffen derden. Wij vragen niet om uitstel alleen om kritische beoordeling te ontlopen; als meer tijd nodig is, leggen wij de reden uit voor zover dat veilig kan.

Wij kunnen een advies publiceren wanneer openbaarmaking gebruikers helpt zichzelf te beschermen. Voordat wij de melder noemen, bespreken wij de naamsvermelding met die persoon.

Dit beleid is geen bug bounty-programma en geeft geen recht op betaling, beloning, een dienstverband of andere compensatie.