Responsible Disclosure

Laatst bijgewerkt: 13 mei 2026

IOMANI hecht groot belang aan de beveiliging van onze systemen en de gegevens van onze gebruikers. Ondanks alle zorg voor onze systemen kan het voorkomen dat er een zwakke plek is. Wij stellen het op prijs als je ons hierover informeert.

Wat we van je vragen

• Mail je bevindingen naar security@iomani.com. Versleutel waar mogelijk de inhoud van je melding (PGP-key op verzoek).
• Maak geen misbruik van de kwetsbaarheid door bijvoorbeeld meer data te downloaden dan nodig om het lek aan te tonen, of door gegevens van derden in te zien, te wijzigen of te verwijderen.
• Deel het probleem niet met anderen totdat het is opgelost.
• Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial-of-service, spam of third-party applicaties.
• Geef voldoende informatie om het probleem te reproduceren, zodat wij het zo snel mogelijk kunnen oplossen. Meestal volstaat het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, maar voor complexere kwetsbaarheden kan meer nodig zijn.

Wat wij beloven

• Wij reageren binnen 3 werkdagen op je melding met onze beoordeling en een verwachte oplossingsdatum.
• Als je je aan bovenstaande regels hebt gehouden, zullen wij geen juridische stappen tegen je ondernemen betreffende de melding.
• Wij behandelen je melding vertrouwelijk en delen je persoonlijke gegevens niet zonder jouw toestemming met derden, tenzij dat noodzakelijk is om een wettelijke verplichting na te komen.
• Wij houden je op de hoogte van de voortgang van het oplossen van het probleem.
• In de communicatie over het gemelde probleem zullen wij — als je dat wenst — je naam vermelden als ontdekker.
• Wij streven ernaar om alle problemen zo snel mogelijk op te lossen. Wij houden je daarbij op de hoogte.

Scope

Deze regeling is van toepassing op kwetsbaarheden in:

• iomani.com en subdomeinen
• IOMANI API endpoints
• Onze infrastructuur (Supabase, Vercel-deployments)

Buiten scope

• Kwetsbaarheden in third-party libraries die niet onder onze directe controle vallen (meld deze bij de betreffende leverancier)
• Self-XSS waarbij gebruikers zichzelf moeten compromitteren
• Missing security headers zonder aantoonbaar exploitatie-risico
• Rate-limiting issues zonder aantoonbare impact
• Findings uit geautomatiseerde scanners zonder validatie

Beloning

Op dit moment hanteert IOMANI geen formeel bug bounty-programma. Wij waarderen je bijdrage en kunnen op verzoek een vermelding doen in onze hall of fame.

Contact

Email: security@iomani.com
RFC 9116 security.txt: /.well-known/security.txt

Dit beleid is geïnspireerd op de Responsible Disclosure standaard van het NCSC en de richtlijnen van de AP voor responsible disclosure.