Iets gevonden? Meld het eerst bij ons.
BlockTheChain draait op bewijs, dus bewijs is welkom. Denk je een kwetsbaarheid te hebben gevonden in deze website of in een systeem dat BlockTheChain beheert, meld het dan: het wordt behandeld als een incident, niet als een aanval.
Via het contactformulier
Stuur de details via het contactformulier. Vermeld om welke URL of welk systeem het gaat, hoe je het probleem reproduceert en welke impact je hebt gezien. Een machineleesbare verwijzing staat op /.well-known/security.txt. Versleuteling nodig? Vraag eerst om een kanaal. Meldingen behandelen we zoals beschreven op /nl/privacy.
Deze site en de labs, niet de diensten erachter
In scope: blockthechain.nl en alles daaronder, inclusief de labs die in je browser draaien. Buiten scope: de diensten van derden die de labs raadplegen (MDN HTTP Observatory, Have I Been Pwned, Cloudflare DNS, openbare Ethereum-nodes, Sourcify, 4byte), het platform van Cloudflare zelf en LinkedIn — meld die bij de betreffende partij.
Ontvangstbevestiging binnen 2 werkdagen
Een eerste beoordeling binnen 5 werkdagen, een fix of mitigatieplan voor bevestigde bevindingen en, als je dat wilt, hieronder een openbaar bedankje. Geen juridische stappen tegen onderzoek te goeder trouw dat zich aan deze regels houdt.
Een fix binnen 60 dagen, publicatie in overleg
Bevestigde bevindingen willen we binnen 60 dagen oplossen en het publicatiemoment spreken we met je af. Duurt een fix langer, dan zeggen we waarom en spreken we een nieuwe datum af. Er is geen bug bounty; een openbaar bedankje, met jouw instemming, is de beloning.
Houd het proportioneel
Test alleen wat nodig is om het probleem aan te tonen. Bekijk, wijzig of bewaar geen gegevens die niet van jou zijn. Gun een redelijke termijn voor herstel voordat je iets publiceert. Volg de leidraad Coordinated Vulnerability Disclosure van NCSC-NL.
Geen denial of service, geen social engineering
Geen brute force, geen grootschalig geautomatiseerd scannen, geen phishing gericht op de operator of derden, geen fysieke aanvallen. Meldingen over ontbrekende best practices zonder aangetoonde impact worden genoteerd, niet beloond.
Dankbetuigingen. Nog geen meldingen ontvangen. Onderzoekers die te goeder trouw melden, worden hier met hun toestemming vermeld.
Eén bericht is genoeg.
Dertig minuten om de scope te bepalen. Binnen twee werkdagen een voorstel met een vaste prijs.