1. Een kwetsbaarheid melden
Als u een beveiligingsprobleem ontdekt, mail dan security@aukilo.com (of contact@aukilo.com met "[SECURITY]" in het onderwerp).
We bevestigen de ontvangst binnen 72 werkuren en houden u op de hoogte van de voortgang.
Om de triage te versnellen, vermeld zo mogelijk:
- een heldere beschrijving van de kwetsbaarheid en de impact;
- de stappen om hem te reproduceren;
- de app-versie of de betrokken URL;
- uw naam of alias als u vermeld wilt worden.
2. Reikwijdte
Dit beleid omvat:
- de website en subdomeinen van aukilo.com, inclusief de web-app app.aukilo.com;
- de Aukilo mobiele app (iOS en Android);
- de Supabase Edge Functions die in het officiële project zijn uitgerold.
3. Buiten de reikwijdte
De volgende onderwerpen vallen niet onder de verantwoorde openbaarmaking:
- denial-of-service-aanvallen (DOS / DDoS);
- phishing en social engineering tegen het team of gebruikers;
- massale scraping of pogingen om quota te omzeilen;
- reeds bekende of in behandeling zijnde kwetsbaarheden;
- diensten van derden (Vercel, Supabase, Firebase, Google) — meld die direct bij de leverancier;
- oude e-mailadressen of geparkeerde domeinen.
4. Onze toezegging
Als u de regels van dit beleid volgt:
- zullen we geen juridische stappen tegen u ondernemen;
- werken we met u samen om de kwetsbaarheid te bevestigen en te verhelpen;
- vermelden we u publiekelijk (met uw toestemming) zodra de fix is uitgerold;
- publiceren we, indien relevant, een anoniem post-mortem.
Aukilo heeft (nog) geen betaald bug-bountyprogramma. Erkenning is symbolisch.
5. Regels om te volgen
Om aanspraak te maken op onze toezegging:
- raadpleeg of wijzig geen gebruikersgegevens zonder hun toestemming;
- verstoor de dienst of de werking ervan niet;
- maak de kwetsbaarheid niet openbaar voordat wij die hebben opgelost;
- exploiteer de kwetsbaarheid niet verder dan een minimale proof of concept.
6. Gebruikersgegevens
Aukilo verwerkt persoonsgegevens conform de AVG en ons privacybeleid. Als een kwetsbaarheid persoonsgegevens blootstelt, passen we de wettelijke meldplichten toe (CNIL, betrokken gebruikers).
7. Contact
Voor vragen over dit beleid: security@aukilo.com.
PGP-sleutel op aanvraag beschikbaar voor gevoelige meldingen.