Een beveiligingsprobleem melden

1 · Waar dit over gaat

castomo.com, het castomo-account op accounts.castomo.com, de werkbondienst achter de site en elk product dat Castomo P.S.A. daar verkoopt — de producten op de productenpagina, die je bij ons koopt, wie ze ook heeft gebouwd. Zit het probleem in een product dat een partner bouwt, dan geven we je melding aan die partner door en blijven wij je aanspreekpunt.

2 · Wat je stuurt

• Waar het zit: het adres, en het product als je dat weet.
• Wat je hebt gedaan, stap voor stap, zodat wij het kunnen nadoen.
• Wat je kon zien of wijzigen, en waarom je denkt dat het ertoe doet.
• Hoe we je kunnen bereiken, als je wilt horen wat we hebben gevonden.

Platte tekst in een e-mail is genoeg. We publiceren geen encryptiesleutel, dus laat alles weg waarvan je niet wilt dat het onderweg wordt meegelezen — zeg dat er meer is, en we spreken met je af hoe we het ontvangen.

3 · Wat we van je vragen

• Stop bij het bewijs. Zodra je kunt laten zien dat het probleem bestaat, ga je er niet verder op in.
• Lees, bewaar, wijzig of verwijder geen gegevens van anderen. Ben je er toch op gestuit, vertel ons dan wat het was en verwijder je kopie.
• Maak de dienst niet trager voor de mensen die hem gebruiken: geen overspoeling met verkeer, geen grootschalige geautomatiseerde scans.
• Probeer het niet via onze medewerkers of klanten — geen phishing, geen pretexting.
• Geef ons de tijd om het op te lossen voordat je iets publiceert.

4 · Wat er daarna gebeurt

Je bericht wordt gelezen door iemand die er iets mee kan doen. We controleren wat je beschrijft, laten je weten wat we hebben gevonden en laten het je opnieuw weten zodra het is opgelost. We noemen geen reactietermijn die we niet kunnen waarmaken, dus ook hier staat er geen.

Wat je stuurt, gebruiken we alleen om het probleem te controleren en op te lossen en om je te antwoorden; het privacybeleid legt uit hoe.

Er is geen bugbountyprogramma: we betalen niet voor meldingen, en een melding die begint met een verzoek om betaling, beantwoorden we net als elke andere.

Dezelfde gegevens staan, voor tools die ernaar zoeken, op /.well-known/security.txt.