Kwetsbaarheden melden

Zo meld je het#

Gebruik de vertrouwelijke kwetsbaarheidsmelding van GitHub voor de 2Secret-repository, of mail [email protected]. Vermeld:

• een beschrijving van de kwetsbaarheid en de gevolgen;
• de stappen om het na te doen, of een proof of concept;
• de versie en het platform dat je testte (app, extensie, CLI, server of deze website);
• hoe we je kunnen bereiken, en of je genoemd wilt worden.

Meld beveiligingsproblemen alsjeblieft niet in openbare GitHub-issues.

Wat we beloven#

• We bevestigen binnen 5 werkdagen dat we je melding hebben ontvangen.
• We houden je op de hoogte terwijl we het probleem onderzoeken en oplossen.
• We brengen oplossingen zo snel mogelijk uit en noemen je in de release notes, tenzij je dat liever niet hebt.
• Beveiligingsoplossingen komen in de nieuwste release.
• We stappen niet naar de rechter voor onderzoek dat te goeder trouw en binnen dit beleid is gedaan.

Wat we vragen#

• Geef ons redelijke tijd om het probleem op te lossen voordat je iets publiceert; we streven naar hooguit 90 dagen.
• Test alleen op je eigen installatie en je eigen accounts. Kom nooit aan gegevens van anderen.
• Geen denial-of-service-aanvallen, spam of social engineering.

Wat valt eronder#

Wel: de apps van 2Secret, de browserextensie, de CLI, de server en de webkluis, en de website 2secret.app.

Niet: servers die door anderen worden beheerd, problemen waarvoor een al gehackt apparaat nodig is, en ontbrekende best practices zonder aantoonbaar gevolg.

Er is op dit moment geen betaalde bug bounty.

Onze security.txt bevat dezelfde contactgegevens in een machineleesbare vorm.