Responsible disclosure

Zo meld je het

Mail naar security@ofcboard.com, met zoveel details als je kunt geven. Meld een kwetsbaarheid niet in een openbaar issue, op sociale media of ergens anders in het openbaar: meld het eerst bij ons, en geef ons de tijd om het op te lossen.

Een goede melding bevat:

• het adres (de URL) of het deel van de app waar het om gaat;
• wat voor kwetsbaarheid het is, en wat een aanvaller ermee kan;
• de stappen om het na te doen;
• een proof of concept als je die hebt, en schermafbeeldingen als die helpen;
• de naam waaronder je genoemd wilt worden, of dat je liever anoniem blijft.

Gaat het niet over beveiliging? Vragen over je account of je gegevens stel je via info@ofcboard.com.

Wat je van ons mag verwachten

• Binnen 3 werkdagen Antwoord van een echt mens. Hebben we meer informatie nodig, dan vragen we erom; valt je melding volgens ons buiten deze regeling, dan zeggen we dat en leggen we uit waarom.
• Binnen 10 werkdagen Onze beoordeling: we bevestigen het probleem, bepalen samen met jou hoe ernstig het is, en laten je weten wanneer we het verwachten op te lossen. Je hoort tussendoor van ons, niet pas aan het eind.
• Openbaar maken Is het opgelost, dan spreken we graag samen met jou af wanneer het probleem openbaar wordt. Standaard is dat na negentig dagen: eerder waar het kan, later alleen als een oplossing dat nodig heeft.
• Vermelding Wil je dat, dan noemen we je als we over de oplossing schrijven. Zonder je toestemming blijf je anoniem: dat is de standaard.
• Geen bug bounty OFC Board betaalt niet voor meldingen, hoe goed ook. Wat we bieden is een snelle oplossing en, als je dat wilt, een vermelding.

Onderzoek te goeder trouw

Onderzoek te goeder trouw is welkom. Doe je je onderzoek te goeder trouw, houd je je aan de regels op deze pagina en geef je ons redelijk de tijd om het probleem op te lossen voordat het openbaar wordt, dan ondernemen we geen juridische stappen tegen je. Spreekt iemand anders je aan op onderzoek dat je volgens deze regeling deed, dan maken we publiek bekend dat je je eraan hield.

Regels voor je onderzoek

• Gebruik je eigen accounts en groepen. Bekijk, wijzig of verwijder nooit gegevens van andere spelers.
• Zie je gegevens van iemand anders, stop dan meteen en meld het ons. Bewaar en deel er niets van.
• Geen automatische massa-aanmeldingen: maak de paar accounts en groepen die je nodig hebt met de hand aan.
• Ga niet verder dan nodig is om het probleem aan te tonen.

Wat eronder valt

• ofcboard.com en www.ofcboard.com
• De app daar, met de accounts, de groepen, het scorebord en het betalen van licenties

Wat er niet onder valt

Laat deze met rust: ze vallen buiten deze regeling, en met meldingen erover kunnen we niets.

• de betaalpagina's en betaalbewijzen van Stripe zelf: meld die bij Stripe;
• het hostingplatform (Fly.io) en onze mailprovider zelf;
• denial of service, en load- of volumetests;
• social engineering, van ons of van spelers;
• fysieke aanvallen;
• uitvoer van een scanner zonder een werkende bevinding;
• ontbrekende headers zonder echte gevolgen;
• alles waarvoor het ontgrendelde toestel van een slachtoffer nodig is;
• spam.

Deze regeling staat ook in machineleesbare vorm, volgens RFC 9116, op /.well-known/security.txt.