Coordinated Vulnerability Disclosure-beleid

Bij NederHost vinden wij de veiligheid van onze systemen erg belangrĳk; onze klanten vertrouwen immers hun gegevens aan NederHost toe. Ondanks onze zorg voor de beveiliging van onze systemen kan het voorkomen dat er toch een zwakke plek is.

U kunt een zwakke plek per toeval ontdekken of er specifiek naar op zoek gaan. Zoeken naar zwakke plekken bij NederHost is toegestaan, mits u geen overlast veroorzaakt. Hou er bovendien rekening mee dat onze geautomatiseerde systemen u hierdoor (tijdelijk) kunnen blokkeren.

Als u een zwakke plek in één van onze systemen heeft gevonden dan horen wij dit graag zodat we zo snel mogelĳk maatregelen kunnen treffen. Wij willen graag met u samenwerken om onze klanten en onze systemen beter te kunnen beschermen.

Wij vragen u:

Mail uw bevindingen naar cert@nederhost.nl of gebruik het formulier onderaan deze pagina. Als u per e-mail een melding doet dan kunt u deze versleutelen met onze PGP-sleutel.
Misbruik het probleem niet door bijvoorbeeld gegevens te downloaden, veranderen of wijzigen, tenzij strikt noodzakelijk voor het aantonen van de kwetsbaarheid zelf. We nemen uw melding altijd serieus, het overhandigen van 'bewijs' in de vorm van gegevens is hiervoor niet nodig.
Deel het probleem niet met anderen totdat het is opgelost en wis alle vertrouwelijke gegevens die zijn verkregen via het lek direct na het dichten van het lek.
Maak geen gebruik van aanvallen op applicaties van derden (inclusief klanten van NederHost) of fysieke beveiliging. Maak geen gebruik van distributed denial of service-aanvallen, rechtstreekse aanvallen op specifieke diensten van onze klanten (zoals specifieke websites of mailboxen), dictionary atacks of spam.
Geef voldoende informatie om het probleem te reproduceren zodat NederHost het zo snel mogelijk kan oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer nodig zijn.

Wat NederHost belooft:

Een reactie binnen 3 dagen op uw melding met onze beoordeling van de melding en een verwachte datum voor een oplossing.
Als u zich aan bovenstaande voorwaarden heeft gehouden zullen wij geen juridische stappen tegen u ondernemen betreffende de melding.
Wij behandelen uw melding vertrouwelijk en zullen uw persoonlijke gegevens niet zonder uw toestemming met derden delen tenzij dat noodzakelijk is om een wettelijke verplichting na te komen. Melden onder een pseudoniem is mogelijk.
Wij houden u op de hoogte van de voortgang van het oplossen van het probleem.
In berichtgeving over het gemelde probleem zullen wij, indien u dit wenst, uw naam vermelden als de ontdekker.

NederHost streeft er naar om alle problemen zo snel mogelijk op te lossen en wordt graag betrokken bij een eventuele publicatie over het probleem nadat het is opgelost.

Zie voor meer informatie de Leidraad Coordinated Vulnerability Disclosure zoals gepubliceerd door NCSC.

Uitsluitingen

De volgende issues die vaak worden gevonden door geautomatiseerde tools zijn geen kwetsbaarheid:

Het vrijgeven van informatie over de PHP-configuratie of andere gegevens op test.nederhost.nl of een subdomein daarvan -- deze pagina's staan gelinkt vanaf deze website juist om inzicht te geven in de configuratie van de shared hostingservers.
Het omzeilen van X-Frame-Options of andere browser-specifieke beveiligingsheaders -- in de meeste gevallen gaat het om ontbrekende features of bugs in browsers en er zijn bovendien andere maatregelen genomen om o.a. clickjacking tegen te gaan.
Tokens of andere schijnbaar geheime informatie in de broncode van uptime.nederhost.nl -- deze pagina draait bij UptimeRobot en de codes in de broncode verwijzen naar de publieke statuspagina van NederHost.

Meldformulier

Naam/alias:

E-mailadres:

Type kwetsbaarheid:

Getroffen systeem/URL/IP:

Uitleg van de kwetsbaarheid:

PGP-sleutel

Snel naar

Diensten

Klantenservice

Over NederHost