Scope
Het volgende valt binnen de scope van dit beleid,
- de webapplicatie op ledgerly.be en de subdomeinen ervan
- het accountgedeelte, authenticatie, sessie- en toegangsbeheer
- de bedrijfslogica voor facturatie, btw en boekhoudgegevens
Buiten scope
De volgende activiteiten en meldingen worden niet aanvaard,
- denial-of-service-aanvallen (DoS, DDoS) en belastingstests
- phishing, social engineering gericht op onze gebruikers of medewerkers, spam
- fysieke toegang, tests op de externe diensten die wij gebruiken (betaling, hosting, bank)
- meldingen die enkel op geautomatiseerde scanners berusten zonder bewijs van werkelijke impact
Te volgen regels
- Test uitsluitend met een account dat u zelf hebt aangemaakt, raadpleeg nooit gegevens van een andere gebruiker.
- Extraheer, wijzig of verwijder geen enkele gegevens, stop zodra een lek is aangetoond.
- Verslechter de dienst niet en verstoor de werking voor andere gebruikers niet.
- Maak de kwetsbaarheid niet openbaar voordat ze is verholpen en wij ons akkoord hebben gegeven.
Een kwetsbaarheid melden
Stuur ons een gedetailleerd rapport per e-mail. Wij reageren zo snel mogelijk.
Beveiligingscontact, security@ledgerly.be
- een duidelijke beschrijving van de kwetsbaarheid en de mogelijke impact
- de precieze stappen om ze te reproduceren (URL, verzoeken, schermafbeeldingen)
- indien van toepassing, een voorstel tot oplossing
Onze toezegging
Als u dit beleid naleeft en te goeder trouw handelt,
- bevestigen wij de ontvangst van uw rapport en houden wij u op de hoogte van de afhandeling
- verhelpen wij bevestigde lekken binnen een redelijke termijn afhankelijk van de ernst
- ondernemen wij geen gerechtelijke stappen tegen u voor tests uitgevoerd volgens deze regels
Beloning
Ledgerly biedt momenteel geen betaald bug bounty-programma aan. Wij danken onderzoekers echter hartelijk voor hun bijdrage en kunnen hen, met hun toestemming, publiekelijk vermelden zodra het lek is verholpen.