Beleid voor het melden van kwetsbaarheden

Versie: 1.1 · Geldig vanaf: 28 oktober 2026

Wij verwelkomen meldingen van beveiligingsonderzoekers en gebruikers die een kwetsbaarheid in Mailistix vinden. Dit beleid legt uit hoe u er een kunt melden, wat u tijdens het onderzoek wel en niet mag doen en wat u van ons mag verwachten.

1. Reikwijdte

Binnen de reikwijdte vallen:

de Mailistix-desktopapplicatie voor macOS en Windows, in de meest recent uitgebrachte versie;
de Clouddiensten van Mailistix die wij exploiteren, dat wil zeggen de serverfuncties en interfaces die de applicatie aanroept;
mailistix.com en de subdomeinen daarvan die wij exploiteren.

Buiten de reikwijdte vallen:

diensten die door derden worden geëxploiteerd (bijvoorbeeld Google, Microsoft, het eigen platform van Supabase, Polar, Cloudflare, Sentry, PostHog). Meld die bij de desbetreffende aanbieder;
bevindingen waarvoor fysieke toegang tot een ontgrendeld apparaat, een gejailbreakt of geroot apparaat of een reeds gecompromitteerd gebruikersaccount van het besturingssysteem nodig is;
denial-of-servicetests, belastingtests (load tests), spam, social engineering en fysieke aanvallen;
meldingen van geautomatiseerde scanners zonder aangetoonde impact; ontbrekende best-practice-headers zonder concrete exploit; self-XSS; clickjacking op pagina’s zonder gevoelige acties; waarnemingen over snelheidsbeperkingen (rate limits) zonder impact.

2. Hoe u een melding doet

Stuur een e-mail naar legal@mailistix.com met een onderwerp dat begint met Security:, in het Engels of in het Duits. Ons security.txt vermeldt hetzelfde contactadres. Vermeld daarbij:

het getroffen onderdeel (de desktopapp met besturingssysteem en versie, of het eindpunt);
de impact en de stappen of een proof of concept waarmee de kwetsbaarheid kan worden gereproduceerd;
of u van mening bent dat de kwetsbaarheid wordt uitgebuit;
hoe wij contact met u kunnen opnemen.

Voeg geen e-mails, wachtwoorden of tokens van anderen toe. Als uw melding gevoelig materiaal vereist, laat het ons dan weten; wij spreken dan een veilige manier af om dit te delen.

3. Regels voor onderzoek

Bij uw onderzoek moet u:

uitsluitend accounts en mailboxen gebruiken die u zelf bezit of waarvoor u uitdrukkelijk gemachtigd bent;
geen gegevens die niet van u zijn openen, kopiëren, wijzigen of verwijderen; als u per ongeluk toegang krijgt tot dergelijke gegevens, stop dan, bewaar ze niet en meld dit aan ons;
de dienst voor anderen niet aantasten (geen denial-of-service, geen massale automatisering, geen brute force tegen accounts van andere gebruikers);
de AI-functies niet gebruiken om gegevens van andere gebruikers te achterhalen of om derden aan te vallen;
een bevinding niet verder uitbuiten dan nodig is om deze aan te tonen;
ons een redelijke termijn gunnen om het probleem op te lossen voordat u het openbaar maakt (wij stellen 90 dagen voor, of een kortere termijn in onderling overleg), en de publicatie met ons afstemmen.

4. Veilige haven (safe harbor)

Als u te goeder trouw handelt en dit beleid naleeft, beschouwen wij uw onderzoek als toegestaan, stellen wij daarvoor geen burgerlijke vordering tegen u in en doen wij daarvoor geen aangifte tegen u bij de opsporingsautoriteiten, en beroepen wij ons met betrekking tot dat onderzoek niet jegens u op de bepalingen in onze Voorwaarden of de EULA die omzeiling of reverse engineering verbieden. Als een derde juridische stappen tegen u onderneemt wegens onderzoek dat aan dit beleid voldeed, maken wij bekend dat wij uw handelingen hadden toegestaan. Deze veilige haven geldt niet voor activiteiten die in strijd zijn met de wet, en wij kunnen het testen van systemen van derden niet toestaan.

5. Wat u van ons mag verwachten

Wij bevestigen de ontvangst van uw melding binnen 5 werkdagen.
Wij houden u op de hoogte van onze beoordeling en van de oplossing.
Wij vermelden u, indien u dat wenst, in onze release notes.
Wij delen uw identiteit niet met derden zonder uw toestemming, tenzij de wet dit vereist.
Als de kwetsbaarheid zich in een onderdeel van een derde bevindt, kunnen wij de technische details aan die derde doorgeven, zodat deze de kwetsbaarheid kan verhelpen.
Waar de wet dit vereist, in het bijzonder artikel 14 van de cyberweerbaarheidsverordening (Verordening (EU) 2024/2847), melden wij actief uitgebuite kwetsbaarheden aan de bevoegde autoriteiten (het coördinerende CSIRT en ENISA).
Wij gebruiken de persoonsgegevens in uw melding uitsluitend om de melding en de oplossing af te handelen, zoals beschreven in ons Privacybeleid.
Wij voeren momenteel geen betaald bugbountyprogramma.

6. Beveiligingsincidenten die uw gegevens raken

Als u een Mailistix-gebruiker bent en meent dat uw account of uw gegevens zijn gecompromitteerd, neem dan onmiddellijk contact op met legal@mailistix.com. Hoe wij omgaan met inbreuken in verband met persoonsgegevens, is beschreven in ons Privacybeleid.