Beleid voor verantwoorde openbaarmaking

Inleiding

BEEShop neemt de beveiliging van onze systemen en gebruikersgegevens zeer serieus. Wij waarderen de bijdragen van beveiligingsonderzoekers en de bredere beveiligingsgemeenschap bij het helpen onderhouden van een veilig platform.

Reikwijdte

Dit beleid is van toepassing op de volgende systemen die eigendom zijn van BEEShop:

beeshop.app — marketingwebsite
app.beeshop.app — gebruikersapplicatie
admin.beeshop.app — beheerpaneel

Alleen systemen die eigendom zijn van en worden geëxploiteerd door BEEShop vallen binnen de reikwijdte. Diensten van derden, zelfs als ze vanaf ons platform worden gelinkt, vallen niet onder dit beleid.

Hoe te melden

Als u een beveiligingskwetsbaarheid hebt ontdekt, meld deze dan aan ons via e-mail:

Email: security@beeshop.app

Neem de volgende informatie op in uw melding:

Beschrijving van de kwetsbaarheid en de mogelijke impact
Gedetailleerde stappen om het probleem te reproduceren
Proof-of-concept (indien beschikbaar)
Uw beoordeling van de ernst
Uw contactgegevens voor opvolging

Een PGP-sleutel is op verzoek beschikbaar voor versleutelde communicatie.

Onze toezeggingen

Wanneer u een kwetsbaarheid te goeder trouw meldt, verbinden wij ons ertoe:

Uw melding binnen 3 werkdagen te bevestigen
Een initiële beoordeling te geven binnen 10 werkdagen
U op de hoogte te houden van onze voortgang richting oplossing
Geen juridische stappen te ondernemen tegen beveiligingsonderzoekers te goeder trouw die dit beleid naleven
U publiekelijk te vermelden (indien gewenst) zodra de kwetsbaarheid is opgelost

Regels van betrokkenheid

Bij het uitvoeren van beveiligingsonderzoek moet u:

Niet toegang krijgen tot, wijzigen of verwijderen van gegevens van andere gebruikers
Geen denial-of-service (DoS) aanvallen uitvoeren
De kwetsbaarheid niet openbaar maken voordat 90 dagen zijn verstreken of een fix is uitgerold (wat het eerst komt)
De privacy van andere gebruikers niet schenden
Alleen testen met uw eigen accounts
Geen buitensporige geautomatiseerde scans uitvoeren die de dienstprestaties kunnen verslechteren

Buiten reikwijdte

Het volgende wordt niet beschouwd als geldige beveiligingskwetsbaarheden onder dit beleid:

Social engineering-aanvallen (phishing, pretexting)
Fysieke beveiligingsproblemen
Denial-of-service (DoS/DDoS) aanvallen
Spam of bulkberichten
Kwetsbaarheden in diensten van derden
Aanvallen die fysieke apparaattoegang vereisen
Ontbrekende beveiligingsheaders zonder aantoonbare exploit
Softwareversie-openbaarmaking zonder bijbehorende kwetsbaarheid

Juridische bescherming

Beveiligingsonderzoek dat in overeenstemming met dit beleid wordt uitgevoerd is:

Geautoriseerd onder artikel 550bis van het Belgisch Strafwetboek (bepalingen inzake computercriminaliteit)
Vrijgesteld van anti-omzeilingsbepalingen
Niet onderworpen aan juridische stappen door BEEShop

Dit beleid is afgestemd op de NIS2-richtlijn (EU) 2022/2555 betreffende gecoördineerde openbaarmaking van kwetsbaarheden.

Reactietermijnen

Fase	Termijn
Bevestiging	3 werkdagen
Initiële beoordeling	10 werkdagen
Statusupdate	Elke 14 dagen
Oplossing — Kritiek	7 dagen
Oplossing — Hoog	30 dagen
Oplossing — Gemiddeld	60 dagen
Oplossing — Laag	90 dagen

Contact

Voor meldingen van beveiligingskwetsbaarheden:

Email: security@beeshop.app

Voor niet-beveiligingsgerelateerde vragen:

Email: contact@beeshop.app