Kwetsbaarheid melden

Kwetsbaarheid melden

Heb je een zwakke plek gevonden in noveu.eu of in een van onze diensten? Dan horen we dat graag. Dit beleid beschrijft hoe je een kwetsbaarheid verantwoord meldt en wat je van ons mag verwachten. We volgen daarbij de leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum (NCSC).

Waar dit beleid over gaat

De volgende systemen en domeinen vallen onder dit beleid:

• noveu.eu (de website)
• *.noveu.eu (subdomeinen die Noveu Solutions beheert, waaronder app.noveu.eu, api.noveu.eu, portal.noveu.eu en webmail.noveu.eu)
• Officiële mobiele apps van Noveu (zodra die beschikbaar zijn)
• Onze publieke API-endpoints

Wat buiten dit beleid valt

• Diensten van derden die wij gebruiken, zoals Cloudflare, Hetzner, Stripe en Mollie. Meld die rechtstreeks bij de leverancier.
• Social engineering, phishing en aanvallen op de fysieke beveiliging van Noveu of haar medewerkers.
• (Distributed) denial-of-service-aanvallen en stresstests.
• Spam, het injecteren van inhoud in publieke zoekresultaten en SEO-kwesties.
• Meldingen over best practices zonder aantoonbaar beveiligingsrisico, zoals een ontbrekend SPF- of DMARC-record op een domein dat geen mail verstuurt, ontbrekende beveiligingsheaders zonder concrete impact of voorkeuren voor TLS-ciphers.
• Self-XSS en problemen die alleen in verouderde browsers optreden.
• Uitvoer van geautomatiseerde scanners zonder eigen controle.

Zo meld je een kwetsbaarheid

Stuur je melding naar security@noveu.eu. Dat is het enige meldadres.

Zet in je melding:

• een duidelijke omschrijving van de kwetsbaarheid en de impact;
• de stappen om het probleem na te spelen, een proof-of-concept of ander bewijs;
• het systeem of de url waar je de kwetsbaarheid hebt gevonden;
• eventuele suggesties om het probleem op te lossen.

Wat je van ons mag verwachten

• Eerste reactie: binnen 5 werkdagen na ontvangst van je melding krijg je een eerste reactie van ons.
• Oplossing: we werken aan een oplossing. Hoe lang dat duurt, hangt af van de ernst en de complexiteit.
• Publicatie: we spreken met je af of, wanneer en hoe de kwetsbaarheid openbaar wordt gemaakt. Als richtlijn geldt 90 dagen na je melding, in overleg.

Safe harbor

Meld je te goeder trouw en houd je je aan de voorwaarden hieronder, dan doen wij geen aangifte en ondernemen wij geen juridische stappen tegen je. Dat volgt Coordinated Vulnerability Disclosure: de Leidraad van het NCSC (november 2017, geraadpleegd op 29 september 2026). Deze toezegging bindt alleen Noveu: het Openbaar Ministerie beslist zelf of het tot vervolging overgaat, zoals het NCSC ook aangeeft.

De voorwaarden:

1. Je blijft binnen de reikwijdte en de uitsluitingen van dit beleid.
2. Je haalt geen klantgegevens weg en wijzigt of vernietigt ze niet. Je toont de impact aan met zo min mogelijk toegang en stopt zodra de kwetsbaarheid is bevestigd.
3. Je respecteert de privacy van gebruikers.
4. Je geeft ons redelijk de tijd om het probleem op te lossen voordat de kwetsbaarheid openbaar wordt (richtlijn 90 dagen, in overleg).
5. Je verstoort het platform niet en maakt diensten voor onze klanten niet onbereikbaar.

Beloning

Noveu geeft geen beloning voor meldingen, ook geen geldelijke bug bounty.

Contact

• Beveiliging: security@noveu.eu
• Privacy en AVG: privacy@noveu.eu
• security.txt: https://noveu.eu/.well-known/security.txt
• English version: /legal/vulnerability-disclosure

Laatst bijgewerkt: 29 september 2026.