Kwetsbaarheid melden
Een kwetsbaarheid melden
Heb je een beveiligingsprobleem in REAL AUTH gevonden, dan horen we het graag, en we behandelen de melding niet als een aanval.
Hoe melden
Mail security@real-auth.com met genoeg detail om het te reproduceren: de betrokken URL of endpoint, de stappen, en wat je wist te bereiken. Wil je de melding versleutelen, zeg dat dan en je krijgt een sleutel.
Wat je mag verwachten
Ontvangstbevestiging binnen drie werkdagen, een inschatting van de ernst, en updates naarmate de oplossing vordert. Zijn we het oneens met je inschatting, dan leggen we uit waarom in plaats van stil te vallen.
Wat we vragen
Benader, wijzig of verwijder geen gegevens van anderen, voer geen overbelastingstests uit op productie, en geef ons redelijke tijd om iets op te lossen voor je publiceert. Testen tegen je eigen sandbox-account is uitdrukkelijk welkom.
Reikwijdte
real-auth.com en subdomeinen, de API, en de gepubliceerde clientcode. Bevindingen die afhangen van een gecompromitteerd apparaat, van social engineering van onze mensen, of van een externe dienst die we niet beheren, vallen erbuiten — al lezen we de melding nog steeds.
Erkenning
Er is op dit moment geen betaald bounty-programma, en doen alsof van wel zou je tijd verspillen. Geldige meldingen worden publiek vermeld als je dat wilt, en komt er een programma, dan wordt dat hier aangekondigd.