Beveiligingsbeleid

De beveiliging van Ledgerly en de gegevens van onze gebruikers is een prioriteit. Bent u beveiligingsonderzoeker en denkt u een kwetsbaarheid te hebben gevonden, dan legt deze pagina uit hoe u die op verantwoorde wijze meldt. Elke melding te goeder trouw is welkom.

Scope

Het volgende valt binnen de scope van dit beleid,

• de webapplicatie op ledgerly.be en de subdomeinen ervan
• het accountgedeelte, authenticatie, sessie- en toegangsbeheer
• de bedrijfslogica voor facturatie, btw en boekhoudgegevens

Buiten scope

De volgende activiteiten en meldingen worden niet aanvaard,

• denial-of-service-aanvallen (DoS, DDoS) en belastingstests
• phishing, social engineering gericht op onze gebruikers of medewerkers, spam
• fysieke toegang, tests op de externe diensten die wij gebruiken (betaling, hosting, bank)
• meldingen die enkel op geautomatiseerde scanners berusten zonder bewijs van werkelijke impact

Te volgen regels

• Test uitsluitend met een account dat u zelf hebt aangemaakt, raadpleeg nooit gegevens van een andere gebruiker.
• Extraheer, wijzig of verwijder geen enkele gegevens, stop zodra een lek is aangetoond.
• Verslechter de dienst niet en verstoor de werking voor andere gebruikers niet.
• Maak de kwetsbaarheid niet openbaar voordat ze is verholpen en wij ons akkoord hebben gegeven.

Een kwetsbaarheid melden

Stuur ons een gedetailleerd rapport per e-mail. Wij reageren zo snel mogelijk.

Beveiligingscontact, security@ledgerly.be

• een duidelijke beschrijving van de kwetsbaarheid en de mogelijke impact
• de precieze stappen om ze te reproduceren (URL, verzoeken, schermafbeeldingen)
• indien van toepassing, een voorstel tot oplossing

Onze toezegging

Als u dit beleid naleeft en te goeder trouw handelt,

• bevestigen wij de ontvangst van uw rapport en houden wij u op de hoogte van de afhandeling
• verhelpen wij bevestigde lekken binnen een redelijke termijn afhankelijk van de ernst
• ondernemen wij geen gerechtelijke stappen tegen u voor tests uitgevoerd volgens deze regels

Beloning

Ledgerly biedt momenteel geen betaald bug bounty-programma aan. Wij danken onderzoekers echter hartelijk voor hun bijdrage en kunnen hen, met hun toestemming, publiekelijk vermelden zodra het lek is verholpen.