Beveiligingsbeleid

We nemen de beveiliging van YourImageShare en de mensen die het gebruiken serieus. Heb je een beveiligingslek gevonden? Bedankt dat je het ons laat weten. Op deze pagina lees je hoe je het meldt, wat je van ons kunt verwachten en welke regels gelden om veilig te testen.

1. Een kwetsbaarheid melden

Mail naar [email protected], of gebruik het contactformulier en laat het onderwerp beginnen met "Security". Meld kwetsbaarheden niet op openbare plekken (GitHub-issues, reacties, sociale media) voordat ze zijn verholpen.

Vermeld graag:

• een beschrijving van het probleem en wat een aanvaller ermee zou kunnen doen;
• de exacte stappen, URL's en requests om het te reproduceren (een proof of concept is welkom);
• het onderdeel dat het betreft: pagina van de website, API-endpoint, browserextensie, WordPress-plugin, SDK, bot;
• hoe je vermeld wilt worden, als je dat al wilt.

Onze machineleesbare contactgegevens staan in /.well-known/security.txt.

2. Wat je van ons kunt verwachten

• Bevestiging van ontvangst binnen 5 werkdagen.
• Eerste beoordeling (of we het kunnen reproduceren en hoe ernstig het is) binnen 10 werkdagen.
• Een oplossing of een statusupdate binnen 90 dagen. Ernstige problemen lossen we zo snel mogelijk op, meestal veel eerder.
• Gecoördineerde bekendmaking. Wacht met het publiceren van details tot het probleem is verholpen, of tot er 90 dagen zijn verstreken. We maken graag een datum met je af.

We zijn een klein team. We houden je op de hoogte en negeren geen geldige melding.

3. Vrijwaring (safe harbour)

Als je te goeder trouw probeert dit beleid te volgen, beschouwen we je onderzoek als toegestaan. We stellen daarvoor geen juridische stappen tegen je in, doen geen aangifte bij de politie en blokkeren je account er niet om. Neemt een derde partij juridische stappen tegen je voor onderzoek dat dit beleid volgde, dan maken we bekend dat je werk was toegestaan.

Te goeder trouw betekent dat je:

• alleen test met je eigen accounts en je eigen uploads, of met accounts waarvoor je toestemming hebt;
• direct stopt zodra je bij gegevens van anderen komt (uploads, accountgegevens, berichten), die niet bewaart of deelt, en ons laat weten waartoe je toegang had;
• de dienst niet verslechtert voor anderen (geen denial-of-service, geen grootschalig geautomatiseerd scannen, geen spam);
• geen social engineering, phishing of fysieke aanvallen gebruikt tegen ons personeel, onze gebruikers of onze leveranciers;
• ons redelijk de tijd geeft om het probleem op te lossen voordat je het openbaar maakt;
• nooit illegale content uploadt, waaronder materiaal van seksueel kindermisbruik, om welke reden dan ook.

Weet je niet zeker of iets is toegestaan? Vraag het ons dan eerst via [email protected].

4. Binnen de scope

• yourimageshare.com en de bijbehorende subdomeinen (bijvoorbeeld i.yourimageshare.com en status.yourimageshare.com);
• de openbare upload-API, de documentatie ervan en onze officiële SDK's en MCP-server;
• onze browserextensies, WordPress-plugin en Telegram-bot.

Voorbeelden van wat we graag willen horen: accountovername, omzeilen van authenticatie of autorisatie, toegang tot privé- of met wachtwoord beveiligde uploads van anderen, cross-site scripting die andere gebruikers raakt, cross-site request forgery bij acties die gegevens wijzigen, server-side request forgery, injectie, remote code execution en problemen in de manier waarop geüploade bestanden worden verwerkt.

5. Buiten de scope

Dit beschouwen we niet als kwetsbaarheden, tenzij je een echte impact op gebruikers kunt aantonen:

• ontbrekende of "best practice"-HTTP-headers, cookievlaggen of TLS-instellingen zonder een werkende aanval;
• meldingen over de configuratie van SPF, DKIM of DMARC;
• clickjacking op pagina's zonder gevoelige acties;
• self-XSS, of aanvallen waarvoor volledige toegang tot het apparaat of de browser van het slachtoffer nodig is;
• rate limits op openbare pagina's, en het achterhalen van gebruikersnamen of e-mailadressen via openbare profielen;
• meldingen van geautomatiseerde scanners zonder bevestigd, reproduceerbaar probleem;
• denial-of-service-aanvallen.

6. Illegale of beledigende content is geen beveiligingsmelding

Wil je een upload melden die illegaal of kwetsend is of in strijd met onze algemene voorwaarden? Gebruik dan de knop Melden bij het item of ons meldformulier. Deze meldingen worden afgehandeld door ons moderatieteam, niet via het beveiligingsadres.

7. Beloning en vermelding

We hebben geen betaald bugbountyprogramma. Met jouw toestemming bedanken we je met je naam (of alias) in de dankbetuigingen hieronder en in de release notes van de oplossing.

8. Dankbetuigingen

We bedanken de volgende mensen voor het op verantwoorde wijze melden van beveiligingsproblemen:

• Er zijn nog geen meldingen vermeld.