Beleid inzake openbaarmaking van kwetsbaarheden

Als u een beveiligingsprobleem heeft gevonden, willen wij dat graag horen en zullen wij u niet vervolgen omdat u ons dit in goed vertrouwen heeft verteld.

Hoe te rapporteren

security@runnerhut (runnerhut.com), gecodeerd met onze gepubliceerde PGP-sleutel als de bevinding gevoelig is. Hetzelfde adres staat vermeld in /.well-known/security.txt.

Waar wij ons voor engageren

• Bevestiging binnen één werkdag
• Een eerste beoordeling met ernst en verwachte tijdlijn binnen vijf werkdagen
• De voortgang wordt ten minste elke tien werkdagen bijgewerkt totdat de oplossing is opgelost
• Krediet in het advies als u dat wilt, en geen als u dat niet wilt

Veilige haven

We zullen geen juridische stappen ondernemen voor onderzoek dat in goed vertrouwen wordt uitgevoerd op grond van dit beleid: alleen testen op basis van uw eigen account, stoppen bij een bewijs van toegang in plaats van gegevens te extraheren, de service voor anderen niet degraderen en ons een redelijke tijd geven om het probleem op te lossen voordat het openbaar wordt gemaakt.

Buiten bereik

• Denial of service, volumetrisch of anderszins
• Social engineering van onze medewerkers of klanten
• Bevindingen die fysieke toegang tot onze faciliteiten vereisen
• Ontbrekende beveiligingsheaders zonder aangetoonde impact