WERKVERSIE VOOR HERZIENING: NIET JURIDISCH GECONTROLEERD
Bereikbaarheid, meldtermijnen, scope en toezeggingen moeten operationeel worden bevestigd.
Bron: https://www.tromptech.nl/responsible-disclosure
Overgenomen: 19 september 2026


Beveiligingsprobleem melden
Laatst bijgewerkt: 30 september 2026

Heb je een kwetsbaarheid gevonden in een van onze systemen? Bedankt dat je het bij ons meldt. Op deze pagina staat hoe we omgaan met meldingen, wat we wel en niet waarderen, en wat je van ons mag verwachten.
1. Hoe meld je iets
Mail naar security@tromptech.nl. Voor gevoelige meldingen kun je versleutelen met onze PGP-sleutel (op aanvraag).
Vermeld in je melding:
Een duidelijke beschrijving van het probleem en de impact
Stappen om het na te bootsen (een werkend voorbeeld als dat kan)
De URL of het component waar je het hebt gevonden
Of je op onze erelijst wilt staan, en zo ja, onder welke naam
2. Wat wij beloven
Bevestiging van ontvangst binnen 2 werkdagen
Eerste inhoudelijke reactie binnen 5 werkdagen
Statusberichten minstens elke 14 dagen tot de melding is opgelost
Geen juridische stappen tegen onderzoekers die zich aan deze regels houden
Vermelding op onze erelijst als je dat wilt
We betalen op dit moment geen geldbeloning voor meldingen, maar we bedanken je wel met een klein cadeau, een korting op onze diensten of een vermelding. Voor uitzonderlijke vondsten staan we open voor maatwerk.
3. Wat we waarderen
SQL-injectie, XSS, CSRF, SSRF, RCE
Problemen met inloggen en toegangsrechten
Toegang tot gegevens van anderen (IDOR, kapotte toegangscontrole)
Datalekken (persoonsgegevens, sleutels, tokens)
Configuratiefouten met gevolgen voor de beveiliging (open opslag, openbare databases en dergelijke)
4. Wat we minder relevant vinden
Ontbrekende beveiligingskopregels zonder concreet gevolg
Self-XSS
Theoretische CSRF op openbare pagina's die alleen lezen
SPF, DKIM en DMARC zonder werkend voorbeeld van phishing
Aanvallen met veel verkeer (DDoS, brute force)
5. Spelregels
Geef ons redelijke tijd om te reageren voordat je iets openbaar maakt (richtlijn: 90 dagen)
Geen schade aan onze data, services of klanten
Geen brute force, geen aanvallen met veel verkeer, geen misleiding (social engineering) van onze medewerkers of klanten
Test alleen op je eigen account of een testaccount. Vraag ons als je een testaccount nodig hebt.
Kom je bij gegevens van anderen, meld dat direct en download ze niet
6. Scope
Binnen scope:
tromptech.nl en alle subdomeinen
De werkplek van de TrompTech Layer (app.tromptech.nl)
Onze API-adressen (/api/*)
Onze automatiseringen die je via een direct adres kunt bereiken
Buiten scope:
Sites die we voor klanten hebben gebouwd onder een eigen domein
Diensten van derden die wij gebruiken (zoals Vercel, Supabase en OpenAI): meld die direct bij hen
Onze beheeromgeving (daar is toestemming voor nodig, dus onderzoek is niet mogelijk)
7. Contact
E-mail: security@tromptech.nl
Reserveadres: info@tromptech.nl
security.txt: /.well-known/security.txt
Zie ook: Documenten en afspraken en Privacybeleid.