Een beveiligingslek melden

Als je denkt een beveiligingszwakte in InfraNest te hebben gevonden, legt dit artikel uit hoe je dit aan ons meldt, wat je moet vermelden en wat je in ruil daarvoor kunt verwachten. Het is bedoeld voor iedereen — klanten, onderzoekers of nieuwsgierige knutselaars — die een probleem op verantwoorde wijze wil melden.

#Overzicht

• InfraNest neemt beveiligingsmeldingen serieus en beoordeelt elke melding die we ontvangen.
• Verantwoord melden helpt ons problemen snel te verhelpen, voordat ze misbruikt kunnen worden.
• We verwelkomen onderzoek te goeder trouw en ondernemen geen juridische stappen tegen meldingen die in lijn zijn met dit artikel.

#Een kwetsbaarheid melden

1. Mail je melding naar security@infranest.io.
2. Open geen publieke GitHub-issue en plaats nergens iets over het probleem voordat wij de kans hebben gehad het te verhelpen.
3. Vermeld in je e-mail:
   • wat je hebt gevonden en wat iemand ermee zou kunnen doen;
   • hoe je het kunt reproduceren — de pagina of het adres, de stappen die je hebt gevolgd, en eventuele requests of schermafbeeldingen;
   • of je vermeld wilt worden, en onder welke naam.
4. Schrijf in het Engels, Nederlands of Duits — wat voor jou het makkelijkst is.

WarningVoer nooit load testing of denial-of-service-pogingen uit tegen de live dienst, ook niet om een punt te bewijzen.

#Wat gebeurt er daarna

1. We bevestigen de ontvangst van je melding binnen 3 werkdagen.
2. We laten je binnen 7 werkdagen weten hoe ernstig we het probleem inschatten en wat we eraan gaan doen.
3. We houden je op de hoogte terwijl we aan een oplossing werken.
4. Zodra de oplossing live is, vermelden we jou als ontdekker — tenzij je liever anoniem blijft.

#Wat valt binnen de scope

• De InfraNest-app en de bijbehorende API (*.infranest.io).
• De server-agent, infranest-agent, en de gegevens die deze verzendt.
• Alles waardoor de ene workspace gegevens, servers of instellingen van een andere workspace kan zien of wijzigen.
• Hoe we de sleutels en tokens die je koppelt, opslaan en gebruiken.

#Wat valt buiten de scope

• Problemen waarvoor iemand al controle over jouw computer of server moet hebben, of fysieke toegang daartoe nodig heeft.
• Ruwe output van geautomatiseerde scanners zonder werkend proof of concept.
• Suggesties voor best practices zonder concrete beveiligingsimpact.
• Social engineering — ons team of onze klanten misleiden.
• Load testing of denial-of-service-tests tegen de live dienst.

#Onderzoek te goeder trouw

We ondernemen geen juridische stappen tegen jou, en vragen dit ook aan niemand anders, zolang je:

1. Een oprechte poging doet om de richtlijnen op deze pagina te volgen.
2. Niemands privacy schaadt, geen gegevens verwijdert en de dienst niet vertraagt.
3. Niet meer gegevens van een andere workspace bekijkt dan nodig is om het probleem aan te tonen, en deze achteraf verwijdert.
4. Ons redelijke tijd geeft om het probleem te verhelpen voordat je het aan anderen vertelt.

TipDe veiligste manier om te testen is binnen je eigen workspace — je kunt er gratis een aanmaken.

#Tips

• Dit e-mailadres is uitsluitend bedoeld voor beveiligingsmeldingen. Voor al het overige — een bug, een vraag of een factureringskwestie — neem je contact op met support vanuit de app.
• Onze gepubliceerde contactgegevens zijn ook beschikbaar via https://infranest.io/.well-known/security.txt.