SecurityVeiligheid
Coordinated Vulnerability DisclosureGecoördineerde kwetsbaarheidsmelding
Currence iDEAL takes the security of its systems seriously. Even so, no system is perfect — if you find a weakness, we’d like to hear about it so we can fix it quickly and keep working with you to protect our customers.Currence iDEAL neemt de beveiliging van haar systemen serieus. Toch is geen enkel systeem perfect — ontdekt u een kwetsbaarheid, dan horen we dat graag, zodat we deze snel kunnen verhelpen en samen met u onze klanten kunnen blijven beschermen.
How to report a vulnerabilityEen kwetsbaarheid melden
If you believe you’ve found a security issue in one of our systems, please report it to us directly rather than disclosing it publicly. To help us handle your report quickly and safely, we ask that you:Denkt u een beveiligingsprobleem in een van onze systemen te hebben ontdekt? Meld dit dan rechtstreeks aan ons, in plaats van het openbaar te maken. Om uw melding snel en veilig te kunnen behandelen, vragen we u om:
- Send your findings to Uw bevindingen te sturen naar security@ideal.nl.
- Encrypt sensitive details using the PGP public key published at Gevoelige informatie te versleutelen met de openbare PGP-sleutel die is gepubliceerd op ideal.nl/.well-known/pgp.asc.
- Include the word “CVD” in the subject line of your email.Het woord “CVD” in de onderwerpregel van uw e-mail te vermelden.
- Avoid exploiting the issue beyond what’s needed to demonstrate it — don’t download more data than necessary, and don’t view, modify, or delete data belonging to others.De kwetsbaarheid niet verder te misbruiken dan nodig is om deze aan te tonen — download niet meer gegevens dan noodzakelijk en bekijk, wijzig of verwijder geen gegevens van anderen.
- Keep the issue confidential until it has been resolved, and delete any data you accessed as soon as the fix is in place.De kwetsbaarheid vertrouwelijk te houden totdat deze is verholpen en alle gegevens die u hebt ingezien te verwijderen zodra de oplossing is doorgevoerd.
- Don’t use physical attacks, social engineering, denial-of-service techniques, spam, or third-party tools against our systems or people.Geen fysieke aanvallen, social engineering, denial-of-service-methoden, spam of tools van derden te gebruiken tegen onze systemen of medewerkers.
- Include enough detail for us to reproduce the issue — typically the affected URL or IP address plus a description is enough, though more complex issues may need more.Voldoende details op te nemen om het probleem te reproduceren — meestal volstaan de betreffende URL of het IP-adres en een beschrijving, maar bij complexere problemen kan meer informatie nodig zijn.
- Keep your report within the scope listed below.Uw melding te beperken tot de hieronder vermelde scope.
Scope
We can only act on reports concerning the following domains:We kunnen alleen meldingen behandelen die betrekking hebben op de volgende domeinen:
- www.ideal.nl
- api.ideal.nl
- profile.ideal.nl
- pay.ideal.nl
- tx.ideal.nl
- cms.ideal.nl
- *.currenceplatform.nl (excluding dev*.currenceplatform.nl)*.currenceplatform.nl (met uitzondering van dev*.currenceplatform.nl)
What you can expect from usWat u van ons kunt verwachten
- An initial response within two weeks, including our assessment and an estimated timeline for a fix.Een eerste reactie binnen twee weken, met onze beoordeling en een geschatte planning voor een oplossing.
- No legal action against you for a report made in line with the guidelines above.We ondernemen geen juridische stappen tegen u als u de bovenstaande richtlijnen volgt bij uw melding.
- Confidential handling of your report — we won’t share your personal details with third parties without your consent unless legally required, and you're welcome to report under a pseudonym.We behandelen uw melding vertrouwelijk — zonder uw toestemming delen we uw persoonsgegevens niet met derden, tenzij we daar wettelijk toe verplicht zijn. U mag uw melding ook onder een pseudoniem doen.
- Regular updates on our progress resolving the issue.Regelmatige updates over de voortgang van het oplossen van het probleem.
- Public credit as the discoverer, if you’d like that.Openbare vermelding als ontdekker, als u dat wilt.
- A symbolic reward for previously unknown, relevant reports, based on the severity of the issue and the quality of your report.Een symbolische beloning voor relevante, nog onbekende kwetsbaarheden, afhankelijk van de ernst van het probleem en de kwaliteit van uw melding.
We aim to resolve every reported issue as quickly as we reasonably can, and we’d like to coordinate with you on any public write-up once it’s fixed.We streven ernaar elk gemeld probleem zo snel mogelijk op te lossen. Nadat het probleem is verholpen, stemmen we eventuele openbare publicatie graag met u af.