Beleid voor het melden van kwetsbaarheden

Versie 2026-10-12

We willen graag horen over beveiligingsproblemen in SnagBane. Denkt u er een te hebben gevonden, laat het ons dan eerst vertrouwelijk weten, zodat we het kunnen oplossen voordat het openbaar is.

Zo meldt u het

Mail naar support@snagbane.com met “Security” in het onderwerp. Vermeld daarbij:

  • de versie en editie van SnagBane (Instellingen → Systeem & updates toont beide), en hoe het is geïnstalleerd (Docker, VPS, cPanel);
  • wat een aanvaller kan doen, en de stappen of een korte proof of concept om het te reproduceren;
  • of er een account voor nodig is, en met welke rol;
  • hoe u vermeld wilt worden, als u dat wilt.

Open alstublieft geen openbaar issue en publiceer geen details voordat er een oplossing beschikbaar is. Machineleesbare contactgegevens staan in /.well-known/security.txt.

Waartoe wij ons verplichten

  • We antwoorden binnen 5 werkdagen om te bevestigen dat we uw melding hebben ontvangen.
  • We houden u minstens elke 14 dagen op de hoogte totdat het probleem is opgelost.
  • We streven ernaar een oplossing voor bevestigde kritieke problemen binnen 7 dagen uit te brengen en voor ernstige problemen binnen 30 dagen, eerder als er misbruik van wordt gemaakt.
  • We noemen de oplossing in de release-opmerkingen van de update en vermelden u daar als u dat wilt.
  • We spreken met u af wanneer details worden gepubliceerd – nadat de oplossing uit is, of 90 dagen na uw melding als we het dan nog niet hebben opgelost, tenzij we iets anders afspreken.

We hebben geen betaald bugbountyprogramma.

Scope

Binnen de scope: de SnagBane-software (gratis en betaalde pakketten, nieuwste versie), de website snagbane.com en de update- en licentiediensten van SnagBane.

Buiten de scope: SnagBane-installaties van andere organisaties – meld die bij de organisatie die ze beheert; problemen waarvoor een gecompromitteerde server of beheerdersaccount nodig is; ontbrekende hardening die de beheerder zelf regelt (bijvoorbeeld een uitgeschakelde instelling); denial of service en belastingstests; social engineering; en diensten van derden zoals Microsoft 365, Google, Freemius of Cloudflare.

Testen te goeder trouw

Test op uw eigen installatie – de servercode van SnagBane wordt leesbaar meegeleverd, zodat u die kunt beoordelen en op beveiliging kunt testen (licentieovereenkomst, sectie 2.3). Gebruik op onze website en diensten alleen uw eigen accounts en een normaal aantal verzoeken; open, wijzig of bewaar geen gegevens van anderen, en stop en meld het zodra u die ziet. We ondernemen geen juridische stappen tegen onderzoek dat te goeder trouw volgens dit beleid is gedaan.

Na een update

Beveiligingsoplossingen worden als gewone updates uitgebracht. Beheerders installeren ze via Instellingen → Systeem & updates → Updates; elk pakket is ondertekend en wordt vóór de installatie gecontroleerd.