# Responsible disclosure

Een securitybedrijf hoort zelf ook getest te worden. Vind je een kwetsbaarheid in een systeem van HackIndex, meld die dan. Er is geen bug bounty, wel een persoonlijk bericht en, als je dat wilt, een vermelding. Deze pagina beschrijft hoe dat werkt en wat je kunt verwachten, en ook hoe HackIndex omgaat met kwetsbaarheden die het zelf in software van anderen vindt. De regeling volgt de Leidraad Coordinated Vulnerability Disclosure van het NCSC.

Versie 1.2, 11 november 2026.

## Zo meld je een kwetsbaarheid

Mail je melding naar het adres in [security.txt](https://hackindex.nl/.well-known/security.txt), het liefst versleuteld met de [PGP-sleutel](https://hackindex.nl/pgp.txt). Zet erin:

- welk systeem of welke URL het betreft
- wat je deed en wat je zag
- hoe het na te doen is, eventueel met een schermafbeelding

Stuur geen gegevens mee die je bent tegengekomen. Melden onder een schuilnaam mag.

## Wat eronder valt

Deze regeling geldt voor hackindex.nl en zijn subdomeinen.

Niet voor systemen van klanten van HackIndex: meld een probleem daar bij de klant zelf of bij het NCSC. Ook niet voor diensten van andere partijen die HackIndex gebruikt, zoals hosting en mail: meld dat bij die partij.

## Wat niet als kwetsbaarheid telt

Meldingen zonder aantoonbare impact, zoals:

- ontbrekende headers of cookie-instellingen zonder misbruikscenario
- SPF, DKIM en DMARC
- zichtbare versienummers
- clickjacking op een pagina zonder gevoelige actie
- self-XSS en CSRF bij uitloggen
- ontbrekende rate limits zonder gevolg
- TLS-instellingen zonder praktisch misbruik
- uitvoer van een scanner zonder uitleg

## Spelregels

- Doe niet meer dan nodig is om het probleem aan te tonen.
- Kopieer, wijzig of verwijder geen gegevens. Zie je per ongeluk gegevens van anderen, stop dan, verwijder wat je hebt en zet het in je melding.
- Geen aanvallen die de dienst verstoren en geen zware geautomatiseerde scans.
- Geen social engineering, phishing, spam of fysieke toegang.
- Plaats geen achterdeur en deel je toegang met niemand.
- Deel het probleem met niemand tot het is opgelost.

## Wat HackIndex belooft

- Binnen 3 werkdagen een reactie op je melding.
- Binnen 10 werkdagen een beoordeling en een verwachte datum voor de oplossing.
- Daarna minstens elke 14 dagen een update, tot het is opgelost.
- Je gegevens worden alleen voor deze melding gebruikt en niet zonder jouw toestemming gedeeld.
- Hield je je aan de spelregels, dan volgt geen aangifte en geen juridische stap. Klaagt een andere partij over je onderzoek, dan legt HackIndex uit dat je volgens deze regeling handelde.

## Bedankt

Een geldbeloning is er niet, HackIndex heeft geen bug bounty. Wel krijg je persoonlijk bericht zodra het is opgelost. Wil je dat, dan wordt je naam als melder genoemd wanneer er over de oplossing wordt gepubliceerd.

## Onderzoek van HackIndex zelf

HackIndex onderzoekt ook open-source packages, plugins en browser- en editorextensies. Wat daaruit komt, staat op de pagina [Research](https://hackindex.nl/research), met een referentie: HI-SA voor een kwetsbaarheid, HI-MA voor malware. Zolang er geen oplossing is, staat daar alleen dat er iets loopt, zonder naam van het pakket.

Een maker wordt benaderd via security.txt, SECURITY.md, een GitHub security advisory of het meldkanaal van het platform. Komt er na 14 dagen geen reactie, dan volgt een tweede poging langs een andere weg en daarna het platform zelf of het NCSC.

## Kreeg je een melding van HackIndex?

Dan heeft HackIndex een kwetsbaarheid of kwaadaardige code gevonden in iets wat jij maakt of beheert. Zo gaat het verder.

- **Is de melding echt?** Een melding komt van een adres op hackindex.nl en noemt een referentie zoals HI-SA-2026-001. Twijfel je, mail dan zelf naar het adres in [security.txt](https://hackindex.nl/.well-known/security.txt) en vraag het na.
- **Het kost niets.** HackIndex vraagt nooit om geld, een beloning of een opdracht in ruil voor een melding.
- **Wat er van je gevraagd wordt:** een bevestiging dat de melding is aangekomen, een oplossing en het versienummer waarin die zit.
- **Hoeveel tijd je hebt:** 90 dagen voor een oplossing, de publicatie volgt 30 dagen later. Meer tijd nodig? Mail dan, een termijn is bespreekbaar zolang er aan een oplossing wordt gewerkt.
- **Wat er wordt gepubliceerd:** de getroffen en opgeloste versies, de ernst, wat gebruikers moeten doen en de tijdlijn. Normaal pas na de fix. Komt er geen oplossing, dan volgt na 90 dagen alleen een waarschuwing zonder technische details.

## Termijnen voor een kwetsbaarheid

- Een maker krijgt 90 dagen voor een oplossing. Is die bijna klaar, dan kan daar 14 dagen bij.
- Na een oplossing volgt de publicatie 30 dagen later, zodat gebruikers kunnen updaten. Eerder kan als de maker dat wil.
- Is er na 90 dagen geen oplossing, dan volgt een waarschuwing met de getroffen versies en wat gebruikers zelf kunnen doen, zonder technische details.
- Wordt de kwetsbaarheid al actief misbruikt, dan is de termijn 7 dagen.

Ben je maker en heb je meer tijd nodig, mail dan. Een termijn is bespreekbaar zolang er aan een oplossing wordt gewerkt.

## Malware

Bij malware is er geen wachttijd bij de maker. Kwaadaardige code wordt direct gemeld bij het platform, zoals npm, de VS Code Marketplace of de Chrome Web Store. De publicatie volgt zodra het pakket offline is, of na uiterlijk 7 dagen als het nog online staat, zodat gebruikers zich kunnen beschermen. Kenmerken worden meegepubliceerd, zodat je kunt nagaan of je getroffen bent.

## Wat er wordt gepubliceerd

De referentie, getroffen en opgeloste versies, de ernst, de impact in gewone taal, wat je moet doen, de tijdlijn, een CVE-nummer en met toestemming de naam van de melder. Een CVE wordt aangevraagd via een GitHub security advisory of een andere CVE-uitgever.

Bron: https://hackindex.nl/security