Een beveiligingsprobleem melden

Wat valt binnen het bereik

• app.hailmo.com
• hailmo.com
• De Hailmo-apps voor Android en iPhone
• De API erachter

Wat valt buiten het bereik

• Denial of service en belastingtests
• Spam
• Social engineering of phishing gericht op ons team of onze gebruikers
• Fysieke aanvallen
• Aanvallen op diensten die we gebruiken maar niet beheren (Google, Apple, Stripe, Firebase, onze hosting)
• Meldingen van geautomatiseerde scanners zonder aangetoonde impact
• Ontbrekende best-practice-headers zonder misbruik
• Self-XSS
• Clickjacking op pagina's zonder gevoelige actie
• Problemen die een verouderde browser of een gerootte of gejailbreakte telefoon nodig hebben

De regels

• Test alleen met accounts die van jou zijn.
• Kijk nooit in gegevens van anderen en wijzig of verwijder ze niet. Kom je toch bij gegevens van iemand anders, stop dan en laat het ons weten.
• Verslechter de dienst niet voor anderen.
• Geef ons redelijk de tijd om het op te lossen voordat je publiceert. We mikken op hooguit 90 dagen, en eerder zodra het is opgelost.

Juridische bescherming

Onderzoek dat te goeder trouw volgens dit beleid is gedaan, is toegestaan. We nemen daarvoor geen juridische stappen tegen je, en we zeggen dat ook als een derde ernaar vraagt.

Hoe te melden

Mail naar security@hailmo.com en vermeld:

• De stappen om het probleem na te bootsen
• Wat een aanvaller ermee kan doen
• Het betrokken adres of de appversie

Stuur geen persoonsgegevens van anderen mee, graag.

Wat je kunt verwachten

• We bevestigen binnen 3 werkdagen dat we je melding hebben.
• We geven binnen 10 werkdagen een eerste beoordeling.
• We houden je op de hoogte tot het is opgelost en noemen je naam als je dat wilt.

Beloningen

We hebben nog geen betaald bugbountyprogramma. Voor geldige, belangrijke meldingen sturen we naar eigen goeddunken misschien een bedankje.