Responsible disclosure

Hoe je een melding doet

Mail je melding naar info@sub-circle.nl, met een onderwerp dat begint met [security]. Zo vinden we hem snel tussen de andere mail.

• De stappen waarmee we het probleem kunnen nabootsen.
• De URL of het scherm in de app waar het zit.
• Wat iemand ermee kan: de impact.

Jouw regels

Subcircle is een netwerk van echte mensen. Onderzoek daarom zo dat niemand er last van heeft:

• Test alleen met je eigen accounts.
• Stuur nooit interesse, een bericht of een match naar een echt lid, en synchroniseer nooit contacten die niet van jou zijn.
• Stop bij het eerste bewijs. Bekijk niet meer gegevens dan daarvoor nodig is, en verwijder wat je hebt gezien zodra je de melding hebt gedaan.

Wat wij beloven

Houd je je aan deze regels, dan doen wij het volgende:

• We reageren binnen 5 werkdagen op je melding.
• We lossen een ernstig lek binnen 60 dagen op.
• We houden je op de hoogte tot het probleem is opgelost.
• We doen geen aangifte en ondernemen geen juridische stappen tegen je.
• Je mag over het probleem publiceren zodra het is opgelost, of uiterlijk 90 dagen na je melding. We stemmen het moment graag samen af.

Beloning

We betalen geen geld voor meldingen. Wel zetten we je naam, als je dat wilt, in onze hall of fame onderaan deze pagina.

Binnen de scope

Deze onderdelen mag je onderzoeken:

• De website sub-circle.nl.
• De Subcircle-app voor iOS en Android.
• Onze API achter de site en de apps.

Buiten de scope

Deze meldingen nemen we niet in behandeling:

• Bugs in de platformen waarop we bouwen. Meld die bij het platform zelf. Een fout in hoe wij er een hebben ingesteld valt wel binnen de scope.
• Denial of service.
• Social engineering en phishing.
• Fysieke toegang tot apparaten of kantoren.
• Bevindingen van scanners zonder echte impact, zoals ontbrekende headers, SPF of DMARC, versienummers, self-XSS, clickjacking op pagina's zonder actie en rate limits.

Hall of fame

Hier bedanken we iedereen die ons met een melding heeft geholpen. Er staan nog geen namen.