Responsible disclosure
Een beveiligingslek gevonden? Zo meld je het ons, en dit mag je van ons verwachten.
Correcthosting host en beheert websites, webshops, mail en servers voor zakelijke klanten. We doen ons best om alles goed te beveiligen, maar een kwetsbaarheid valt nooit helemaal uit te sluiten. Heb je er een gevonden, laat het ons dan weten. Dan kunnen we het oplossen voordat iemand er misbruik van maakt.
Dit beleid geldt voor alle systemen die Correcthosting beheert: de website correcthosting.nl, het klantenpaneel, de hostingservers, mailservers en DNS, en de bijbehorende infrastructuur. Websites van klanten vallen er ook onder voor zover het de server en de hosting betreft. Een lek in de eigen software van een klantsite melden we aan die klant.
Versie 1.0, 10 november 2026
Hoe meld je een kwetsbaarheid
Stuur je melding naar dennis@correcthosting.nl. Wil je versleuteld mailen, vraag dan per mail om onze publieke sleutel; die krijg je per omgaande.
Zet in je melding:
- welk systeem, welke URL of welk IP-adres het betreft;
- wat de kwetsbaarheid is en wat de mogelijke gevolgen zijn;
- de stappen om het probleem na te bootsen, met een proof-of-concept als dat kan;
- hoe we je kunnen bereiken voor vragen.
Meld het zo snel mogelijk na ontdekking en deel de kwetsbaarheid niet met anderen zolang het probleem niet is opgelost.
Wat we van je vragen
Je onderzoek mag alleen dienen om de kwetsbaarheid aan te tonen. Daarom vragen we je:
- geen social engineering toe te passen op ons, onze klanten of leveranciers, en geen phishing te gebruiken;
- geen (distributed) denial-of-service-aanvallen uit te voeren, geen brute-force-aanvallen en geen geautomatiseerde scans die de dienstverlening kunnen verstoren;
- geen gegevens van anderen te bekijken, te kopiëren, te wijzigen of te verwijderen. Kom je zulke gegevens tegen, stop dan direct en meld het ons;
- niets te veranderen aan systemen, instellingen of gegevens, en geen achterdeuren, malware of andere software te installeren;
- niet verder te gaan dan een proof-of-concept: zodra je de kwetsbaarheid hebt aangetoond, stop je;
- de toegang die je hebt gekregen niet met anderen te delen;
- de kwetsbaarheid niet openbaar te maken voordat we die hebben opgelost en dat met je hebben afgestemd.
Wat buiten dit beleid valt
Dit kanaal is bedoeld voor beveiligingslekken. Voor storingen, klachten, spam of phishing uit naam van Correcthosting kun je gewoon contact opnemen via support@correcthosting.nl of WhatsApp.
De volgende meldingen nemen we doorgaans niet in behandeling, tenzij je laat zien dat er echt misbruik mee mogelijk is:
- meldingen zonder proof-of-concept, of alleen de uitvoer van een scanner;
- ontbrekende of anders ingestelde beveiligingsheaders en cookie-instellingen;
- SPF-, DKIM- of DMARC-instellingen;
- versienummers of banners van software zonder aangetoonde kwetsbaarheid;
- het ontbreken van rate limiting, of de mogelijkheid tot een denial-of-service;
- clickjacking op pagina's zonder gevoelige acties, en CSRF op uitloggen;
- kwetsbaarheden die alleen werken in verouderde browsers of na fysieke toegang tot een apparaat.
Wat je van ons mag verwachten
- We bevestigen je melding binnen 2 werkdagen en laten weten hoe we hem beoordelen.
- We houden je op de hoogte van de voortgang en willen de kwetsbaarheid binnen 60 dagen oplossen. Lukt dat niet, bijvoorbeeld omdat de oplossing van een leverancier moet komen, dan leggen we uit waarom en wanneer we het wel verwachten.
- Houd je je aan dit beleid, dan doen we geen aangifte en nemen we geen juridische stappen tegen je vanwege je onderzoek.
- Wil je dat, dan noemen we je naam als ontdekker zodra het probleem is opgelost. Wil je dat niet, dan blijft je melding anoniem.
- Je persoonsgegevens behandelen we vertrouwelijk en we delen ze niet zonder jouw toestemming, tenzij de wet ons daartoe verplicht.
- Betreft het een website of applicatie van een klant, dan lichten we die klant in. Jouw gegevens delen we daarbij alleen met je toestemming.
We werken niet met een bug bounty: voor meldingen geven we geen geldelijke beloning.
Contact
Correcthosting
Salland 1
1948 RE Beverwijk
KvK-nummer: 24404225
E-mail: dennis@correcthosting.nl
Dit beleid staat ook in machineleesbare vorm in security.txt.