Vind je een kwetsbaarheid in Examplary, meld die dan via security@examplary.ai, met een beschrijving, de stappen om het probleem te reproduceren en je contactgegevens. Binnen 3 werkdagen bevestigen we dat we je melding hebben ontvangen. We houden je op de hoogte van de voortgang en ondernemen geen juridische stappen tegen onderzoekers die zich aan dit beleid houden.
Bij Examplary nemen we de beveiliging van ons platform en de bescherming van de gegevens van onze gebruikers serieus. We waarderen het als beveiligingsonderzoekers en anderen ons helpen het platform veilig te houden.
Waar dit beleid voor geldt
Dit beleid geldt voor kwetsbaarheden in:
- de webapplicatie van Examplary (app.examplary.ai)
- de API's van Examplary
- infrastructuur die Examplary zelf beheert
Het volgende valt buiten dit beleid:
- diensten en koppelingen van derden
- social engineering gericht op medewerkers of gebruikers van Examplary
- denial-of-service-aanvallen (DoS/DDoS)
- geautomatiseerd scannen of testen waardoor de dienst slechter werkt voor andere gebruikers
- aanvallen op de fysieke beveiliging
- kwetsbaarheden in software of systemen die niet van Examplary zijn
Een kwetsbaarheid melden
Denk je een kwetsbaarheid te hebben gevonden, meld die dan bij ons via:
Zet in je melding:
- een duidelijke beschrijving van de kwetsbaarheid en de mogelijke gevolgen
- gedetailleerde stappen om het probleem te reproduceren
- ondersteunend materiaal, zoals screenshots, proof-of-concept-code of HTTP-verzoeken en -antwoorden
- je contactgegevens, zodat we je vragen kunnen stellen
Wat je van ons kunt verwachten
- Ontvangstbevestiging: binnen 3 werkdagen bevestigen we dat we je melding hebben ontvangen.
- Beoordeling: we onderzoeken en beoordelen de gemelde kwetsbaarheid en houden je op de hoogte van de voortgang.
- Oplossing: we streven ernaar bevestigde kwetsbaarheden snel op te lossen, met een termijn die past bij de ernst.
- Openbaarmaking: we vragen je ons een redelijke termijn te geven (meestal 90 dagen) om het probleem op te lossen voordat je het openbaar maakt.
Wat wij toezeggen
- We ondernemen geen juridische stappen tegen onderzoekers die zich aan dit beleid houden.
- We werken te goeder trouw met je samen om het probleem te begrijpen en op te lossen.
- Als je dat wilt, noemen we je naam wanneer we de kwetsbaarheid openbaar behandelen.
- We houden je tijdens het hele herstel op de hoogte van de voortgang.
Wat we van jou vragen
- Bekijk, wijzig of verwijder geen gegevens van andere gebruikers.
- Zorg dat de beschikbaarheid en prestaties van het platform er niet onder lijden.
- Stop met testen en meld het direct als je gegevens van gebruikers tegenkomt.
- Test alleen met accounts die van jou zijn of waarvoor je uitdrukkelijk toestemming hebt.
- Maak de kwetsbaarheid niet openbaar voordat wij een redelijke kans hebben gehad die op te lossen.
- Houd je aan alle geldende wetten.
Indeling naar ernst
We delen kwetsbaarheden als volgt in:
Kritiek: remote code execution, het omzeilen van authenticatie, toegang tot gevoelige gebruikersgegevens op grote schaal, of het compromitteren van encryptiesleutels.
Hoog: het verkrijgen van hogere rechten (privilege escalation), het blootleggen van een aanzienlijke hoeveelheid gegevens, stored cross-site scripting (XSS) of SQL-injectie.
Gemiddeld: cross-site request forgery (CSRF), het lekken van niet-gevoelige informatie, of problemen met toegangscontrole met beperkte gevolgen.
Laag: problemen met minimale gevolgen voor de beveiliging, zoals te uitgebreide foutmeldingen, ontbrekende security headers of andere afwijkingen van best practices.
Gegevensbescherming
Examplary verwerkt toetsgegevens, die antwoorden en cijfers van leerlingen kunnen bevatten. We zijn ons bewust van hoe gevoelig die gegevens zijn en letten daarom extra op:
- versleuteling van gegevens tijdens transport en opslag
- strikte toegangscontrole en authenticatie
- regelmatige beveiligingsreviews en tests
- naleving van de geldende regels voor gegevensbescherming
Hoe we met gegevens omgaan, lees je in onze privacyverklaring.
Contact
Voor beveiligingszaken: security@examplary.ai
Voor algemene vragen: hi@examplary.ai