Beveiliging

Responsible disclosure

Arcolos vzw · laatst bijgewerkt op 21 oktober 2026

We doen ons best om onze systemen veilig te houden, maar een lek kan altijd. Heb je een zwakke plek gevonden? Laat het ons dan zo snel mogelijk weten, zodat we het kunnen oplossen voor iemand er misbruik van maakt. Op deze pagina lees je hoe je dat op een verantwoorde manier doet en wat je van ons mag verwachten.

1.Waarvoor geldt dit

• www.arcolos.org, inclusief het contactformulier en de chatbot;
• arcoloo.be, ons kassasysteem en bestelplatform Arcoloo.

Niet inbegrepen zijn websites en apps die we voor klanten bouwen (meld die aan de eigenaar van de site; lukt dat niet, mail ons dan en we geven het door) en diensten van derden zoals Google, Cloudflare, Lettermint en Railway (meld die rechtstreeks bij de leverancier).

2.Hoe meld je een lek

Mail naar info@arcolos.org met als onderwerp “Responsible disclosure”. Je mag in het Nederlands of het Engels schrijven. Vermeld zeker:

• de URL of het onderdeel waar het probleem zit;
• wat je gevonden hebt en de stappen om het na te bootsen;
• wat iemand er volgens jou mee zou kunnen doen;
• hoe we je kunnen bereiken voor vragen.

3.Spelregels

• Test niet verder dan nodig om aan te tonen dat het lek bestaat.
• Bekijk, kopieer, wijzig of verwijder geen gegevens van anderen. Kom je toch persoonsgegevens tegen, stop dan en meld het ons.
• Geen (D)DoS- of belastingstests, geen social engineering of phishing van onze vrijwilligers of leden, geen fysieke aanvallen en geen spam via het contactformulier.
• Plaats geen achterdeurtjes of malware en gebruik geen gevonden toegang om verder in onze systemen te gaan.
• Deel het lek met niemand anders tot het opgelost is, en verwijder daarna alle gegevens die je verkregen hebt.

4.Wat je van ons mag verwachten

• We bevestigen je melding binnen 5 werkdagen en laten je weten hoe we ze inschatten.
• We houden je op de hoogte en streven ernaar het lek binnen 90 dagen op te lossen.
• Hou je je aan de spelregels, dan ondernemen we geen juridische stappen tegen je.
• We behandelen je melding vertrouwelijk en geven je gegevens niet zonder jouw toestemming door aan anderen, tenzij de wet ons daartoe verplicht.
• Wil je na de oplossing over het lek publiceren, dan spreken we samen een moment af.

5.Wat we niet als lek beschouwen

• ontbrekende beveiligingsheaders of cookie-instellingen zonder aantoonbaar risico;
• clickjacking op pagina’s zonder gevoelige acties;
• self-XSS en problemen die enkel in verouderde browsers werken;
• het tonen van versienummers of software-informatie zonder concrete kwetsbaarheid;
• adviezen over SPF, DKIM of DMARC;
• resultaten van automatische scanners zonder bewijs dat het misbruikt kan worden.

6.Geen beloning

Arcolos vzw draait op vrijwilligers, dus we betalen geen beloning (geen bug bounty). Wel zijn we je heel dankbaar, en als je dat wil, vermelden we je naam met een woord van dank op deze pagina.

7.Belgisch wettelijk kader

In België mag je onder strikte voorwaarden en te goeder trouw naar kwetsbaarheden zoeken en die melden (NIS2-wet van 26 april 2024). Wil je dat, dan kan je je melding ook bezorgen aan het Centrum voor Cybersecurity België (CCB) via vulnerabilityreport@cert.be. Meer info vind je op ccb.belgium.be.

In English

Found a security issue in www.arcolos.org or arcoloo.be? Email info@arcolos.org with the subject “Responsible disclosure”. Include the affected URL, steps to reproduce and the impact. Test only as far as needed to show the issue, do not access or change other people’s data, avoid DoS, social engineering and spam, and keep the issue confidential until it is fixed.

We will reply within 5 working days, keep you updated, aim to fix within 90 days and take no legal action if you follow these rules. Arcolos vzw is run by volunteers, so there is no bug bounty, but with your permission we will gladly thank you by name on this page.