Beveiligingsprobleem melden

Laatst bijgewerkt: 30 september 2026

Heb je een kwetsbaarheid gevonden in een van onze systemen? Bedankt dat je het bij ons meldt. Op deze pagina staat hoe we omgaan met meldingen, wat we wel en niet waarderen, en wat je van ons mag verwachten.

1. Hoe meld je iets

Mail naar security@tromptech.nl. Voor gevoelige meldingen kun je versleutelen met onze PGP-sleutel (op aanvraag).

Vermeld in je melding:

Een duidelijke beschrijving van het probleem en de impact
Stappen om het na te bootsen (een werkend voorbeeld als dat kan)
De URL of het component waar je het hebt gevonden
Of je op onze erelijst wilt staan, en zo ja, onder welke naam

2. Wat wij beloven

Bevestiging van ontvangst binnen 2 werkdagen
Eerste inhoudelijke reactie binnen 5 werkdagen
Statusberichten minstens elke 14 dagen tot de melding is opgelost
Geen juridische stappen tegen onderzoekers die zich aan deze regels houden
Vermelding op onze erelijst als je dat wilt

We betalen op dit moment geen geldbeloning voor meldingen, maar we bedanken je wel met een klein cadeau, een korting op onze diensten of een vermelding. Voor uitzonderlijke vondsten staan we open voor maatwerk.

3. Wat we waarderen

SQL-injectie, XSS, CSRF, SSRF, RCE
Problemen met inloggen en toegangsrechten
Toegang tot gegevens van anderen (IDOR, kapotte toegangscontrole)
Datalekken (persoonsgegevens, sleutels, tokens)
Configuratiefouten met gevolgen voor de beveiliging (open opslag, openbare databases en dergelijke)

4. Wat we minder relevant vinden

Ontbrekende beveiligingskopregels zonder concreet gevolg
Self-XSS
Theoretische CSRF op openbare pagina's die alleen lezen
SPF, DKIM en DMARC zonder werkend voorbeeld van phishing
Aanvallen met veel verkeer (DDoS, brute force)

5. Spelregels

Geef ons redelijke tijd om te reageren voordat je iets openbaar maakt (richtlijn: 90 dagen)
Geen schade aan onze data, services of klanten
Geen brute force, geen aanvallen met veel verkeer, geen misleiding (social engineering) van onze medewerkers of klanten
Test alleen op je eigen account of een testaccount. Vraag ons als je een testaccount nodig hebt.
Kom je bij gegevens van anderen, meld dat direct en download ze niet

6. Scope

Binnen scope:

tromptech.nl en alle subdomeinen
De werkplek van de TrompTech Layer (app.tromptech.nl)
Onze API-adressen (/api/*)
Onze automatiseringen die je via een direct adres kunt bereiken

Buiten scope:

Sites die we voor klanten hebben gebouwd onder een eigen domein
Diensten van derden die wij gebruiken (zoals Vercel, Supabase en OpenAI): meld die direct bij hen
Onze beheeromgeving (daar is toestemming voor nodig, dus onderzoek is niet mogelijk)

7. Contact

Zie ook: Documenten en afspraken en Privacybeleid.