Kwetsbaarheden melden

Laatst bijgewerkt: 16 oktober 2026

We vinden de veiligheid van pompwijzer en de gegevens van onze gebruikers belangrijk. Heb je een kwetsbaarheid gevonden? Meld het ons, dan lossen we het zo snel mogelijk op. We werken daarbij volgens het principe van Coordinated Vulnerability Disclosure (CVD).

1. Zo meld je het

Mail je bevinding naar security@pompwijzer.nl. Vermeld in elk geval:

de URL of het onderdeel waar het probleem zit;
de stappen om het te reproduceren;
wat een aanvaller ermee zou kunnen doen;
hoe we contact met je kunnen opnemen.

2. Scope

Dit beleid geldt voor pompwijzer.nl, www.pompwijzer.nl en api.pompwijzer.nl. Andere subdomeinen, zoals test- en stagingomgevingen, vallen er niet onder. Diensten van derden die we gebruiken (zoals inloggen, hosting en advertenties) vallen er niet onder; meld problemen daarin bij de betreffende leverancier.

3. Spelregels

Voer geen aanvallen uit die de dienst verstoren, zoals DoS of belastingstests.
Gebruik geen social engineering, phishing of fysieke toegang.
Bekijk, wijzig of verwijder niet meer gegevens dan nodig om het probleem aan te tonen, en verwijder verkregen gegevens daarna.
Gebruik geen gevonden toegang om verder in systemen door te dringen.
Deel het probleem niet met anderen totdat het is opgelost, of uiterlijk 90 dagen na je melding in overleg met ons.

4. Wat wij beloven

We bevestigen je melding binnen 5 werkdagen.
We houden je op de hoogte van de voortgang en streven ernaar het probleem binnen 90 dagen op te lossen.
We behandelen je melding vertrouwelijk en delen je gegevens niet zonder toestemming met derden.
Als je wilt, noemen we je naam als ontdekker wanneer we over het probleem publiceren.
Houd je je aan deze spelregels, dan doen we geen aangifte en nemen we geen juridische stappen tegen je.

5. Beloning

pompwijzer heeft geen bug bounty-programma en keert geen geld uit voor meldingen. We waarderen je hulp wel en bedanken je graag persoonlijk.

6. Wat we niet als kwetsbaarheid zien

ontbrekende beveiligingsheaders of cookie-vlaggen zonder aantoonbaar misbruik;
clickjacking op pagina’s zonder gevoelige acties;
opmerkingen over SPF-, DKIM- of DMARC-instellingen;
ongecontroleerde uitvoer van geautomatiseerde scanners;
het ontbreken van rate limiting op niet-gevoelige formulieren.