1. Een kwetsbaarheid melden

Als je een beveiligingsprobleem ontdekt, mail dan security@aukilo.com (of contact@aukilo.com met "[SECURITY]" in het onderwerp).

We bevestigen de ontvangst binnen 72 werkuren en houden je op de hoogte van de voortgang.

Om de triage te versnellen, vermeld zo mogelijk:

een heldere beschrijving van de kwetsbaarheid en de impact;
de stappen om hem te reproduceren;
de app-versie of de betrokken URL;
je naam of alias als je vermeld wilt worden.

2. Reikwijdte

Dit beleid omvat:

de website en subdomeinen van aukilo.com;
de Aukilo mobiele app (iOS en Android);
de Supabase Edge Functions die in het officiële project zijn uitgerold.

3. Buiten de reikwijdte

De volgende onderwerpen vallen niet onder de verantwoorde openbaarmaking:

denial-of-service-aanvallen (DOS / DDoS);
phishing en social engineering tegen het team of gebruikers;
massale scraping of pogingen om quota te omzeilen;
reeds bekende of in behandeling zijnde kwetsbaarheden;
diensten van derden (Vercel, Supabase, Firebase, Google) — meld die direct bij de leverancier;
oude e-mailadressen of geparkeerde domeinen.

4. Onze toezegging

Als je de regels van dit beleid volgt:

zullen we geen juridische stappen tegen je ondernemen;
werken we met je samen om de kwetsbaarheid te bevestigen en te verhelpen;
vermelden we je publiekelijk (met je toestemming) zodra de fix is uitgerold;
publiceren we, indien relevant, een anoniem post-mortem.

Aukilo heeft (nog) geen betaald bug-bountyprogramma. Erkenning is symbolisch.

5. Regels om te volgen

Om aanspraak te maken op onze toezegging:

raadpleeg of wijzig geen gebruikersgegevens zonder hun toestemming;
verstoor de dienst of de werking ervan niet;
maak de kwetsbaarheid niet openbaar voordat wij die hebben opgelost;
exploiteer de kwetsbaarheid niet verder dan een minimale proof of concept.

6. Gebruikersgegevens

Aukilo verwerkt persoonsgegevens conform de AVG en ons privacybeleid. Als een kwetsbaarheid persoonsgegevens blootstelt, passen we de wettelijke meldplichten toe (CNIL, betrokken gebruikers).

7. Contact

Voor vragen over dit beleid: security@aukilo.com.

PGP-sleutel op aanvraag beschikbaar voor gevoelige meldingen.