Een kwetsbaarheid melden

Zo meld je het

Gebruik het formulier hieronder of mail security@partyppl.nl. Dat adres leest een mens. Zet erin wat je vond, op welke URL of in welke app, en hoe je het nadoet. Een kort filmpje of een paar screenshots helpen meer dan een scannerrapport van veertig pagina's.

Gevoelige details kun je versleutelen met onze PGP-sleutel. Hoeft niet: een onversleutelde melding is beter dan geen melding.

Het machineleesbare beleid staat in security.txt, op elk van onze adressen.

Wat je van ons terugkrijgt

1. Een incident, of een melding waarbij gegevens van anderen, inloggen, betalen of tickets in gevaar kunnen zijn: binnen 1 tot 2 uur reageert een mens. Altijd, ook in het weekend.
2. Een algemene vraag over beveiliging, of een melding zonder direct risico: binnen 1 tot 2 werkdagen een antwoord van een mens, geen automatisch antwoord.
3. Binnen tien werkdagen hoor je of we het erkennen, wat de impact volgens ons is en wanneer we het oplossen.
4. Is het opgelost, dan hoor je het en mag je erover publiceren. We vragen je 90 dagen te wachten met publiceren, of korter als we eerder klaar zijn. Loopt het uit, dan zeggen we waarom.

Binnen de scope

• Alles op partyppl.nl en elk subdomein daarvan (*.partyppl.nl, ook gaming.partyppl.nl), en het korte adres pppl.app.
• De apps voor iPhone, iPad, Apple Watch, Mac en Apple TV.
• De API onder /api/v1, de MCP-server, de Apple Wallet-dienst, het koppelen van een Apple TV en de widgetfeeds.
• De e-mails die we sturen.
• Voorbeelden: bij gegevens van een ander account komen, inloggen, de 18+-stap of de rollen omzeilen, injectie, een ticket krijgen zonder te betalen of het ticket van een ander, uploads van anderen lezen.

Buiten de scope

• Denial of service, loadtests en alles wat de site voor anderen trager maakt.
• Social engineering van ons team, organisatoren of bezoekers, en phishing.
• Fysieke toegang tot kantoren, servers of toestellen.
• Spam, ook naar onze mailverzending of pushmeldingen.
• Alleen een scannerrapport, ontbrekende headers zonder werkend misbruik, self-XSS, en de TLS-instellingen van onze CDN-leverancier.
• Diensten van derden zoals Stripe, Resend, Cloudflare, OVHcloud, Apple of Anthropic. Meld die bij hen.

Spelregels bij het onderzoek

• Test alleen op je eigen account en je eigen gegevens. Kom je bij gegevens van een ander, stop dan meteen, bewaar niets en zet in je melding hoeveel je zag.
• Geen geautomatiseerde scans op inloggen, betalen en tickets. Die raken echte bezoekers aan de deur.
• Geen echte betalingen terugboeken, geen tickets van anderen scannen of doorverkopen.
• Niets aanpassen of verwijderen wat niet van jou is, geen achterdeur achterlaten en geen toegang vasthouden nadat je hebt laten zien dat het kan.
• Deel wat je vond met niemand anders tot het is opgelost.

Veilige haven

Meld je te goeder trouw en houd je je aan de spelregels hierboven, dan doen wij geen aangifte en stappen we niet naar de rechter. We zien je onderzoek dan als hulp, niet als aanval.

Namens anderen kunnen we dat niet beloven: niet namens onze leveranciers, en niet namens het Openbaar Ministerie, dat zelf beslist of het vervolgt. Meer over gecoordineerd melden lees je in de leidraad van het NCSC.

Beloning

PartyPPL is een klein platform zonder beveiligingsafdeling. We betalen geen geldbeloning. Wel: snel antwoorden, eerlijk zijn over wat we wel en niet oplossen, en je met naam noemen als je dat wilt.

Hall of fame

Wie een kwetsbaarheid meldt die we bevestigen en oplossen, komt hier te staan met de naam of handle die je kiest, de maand en een regel over wat het was. Anoniem mag ook.

Nog niemand. Er is nog geen melding bevestigd. Deze lijst is leeg omdat hij eerlijk is, niet omdat hij vergeten is.

PGP-sleutel

Versleutel gevoelige details met onze sleutel. Controleer eerst de vingerafdruk:

E5D2 6476 4523 7FA9 9C0C A348 34DE 15CF CFE7 5F58