Responsible disclosure

E-mailadres hello@trusq.io met voldoende details om het probleem te reproduceren — de betrokken URL of het betrokken endpoint, de stappen en de impact. Onze security.txt vermeldt hetzelfde contactadres. Doe uw melding in het Engels of het Nederlands.

De eigen omgevingen van Trusq: trusq.io en app.trusq.io. Buiten scope: onze subverwerkers van derden (Hetzner, Mistral, INWX) — meld problemen in hun platforms rechtstreeks bij hen — en bevindingen zonder realistische impact op de beveiliging (bijv. ontbrekende best-practiceheaders zonder aantoonbare exploit, meningen over rate limiting, of output van geautomatiseerde scanners zonder werkende proof of concept).

Handel te goeder trouw: test uitsluitend op uw eigen account of op accounts waarvoor u geautoriseerd bent; raadpleeg, wijzig of verwijder geen gegevens van andere gebruikers; voer geen denial-of-service-, spam- of social-engineeringaanvallen uit; en stop zodra u een kwetsbaarheid hebt aangetoond. Geef ons een redelijke gelegenheid om een probleem op te lossen voordat u het openbaar maakt. Testen dat zich aan deze richtlijnen houdt, is welkom en wij ondernemen daartegen geen actie.

Trusq voert op dit moment geen betaald bugbountyprogramma en wij kunnen geen geldelijke beloning toezeggen. Wij stellen verantwoorde meldingen zeer op prijs en vermelden u graag (met uw toestemming) zodra een probleem is verholpen.

Wij zijn een klein team en lezen elke melding. Wij streven ernaar een geldige melding binnen enkele werkdagen te bevestigen en u op de hoogte te houden terwijl wij eraan werken. Dit zijn intenties, geen contractuele SLA — wij stellen liever een realistische verwachting dan een opgeblazen verwachting.