Naar de inhoud

Responsible disclosure

Versie 2026.1, bijgewerkt op 6 oktober 2026

WIWO Media (een handelsnaam van CW Nederland B.V.) vindt de veiligheid van haar systemen en van de gegevens van klanten erg belangrijk. Toch kan er een zwakke plek in onze systemen zitten. Heb je een kwetsbaarheid gevonden, dan horen we dat graag, zodat we die zo snel mogelijk kunnen verhelpen. Op deze pagina lees je hoe je een kwetsbaarheid meldt, welke spelregels daarbij gelden en wat je van ons mag verwachten. Deze werkwijze heet ook wel coordinated vulnerability disclosure (CVD).

Hoe meld je een kwetsbaarheid

Stuur je melding per e-mail naar security@wiwomedia.nl. Onze contactgegevens voor beveiligingsmeldingen staan ook in het bestand /.well-known/security.txt, volgens de internationale standaard RFC 9116.

Vermeld in je melding in elk geval:

  • welk systeem, welke URL of welke dienst het betreft;
  • een omschrijving van de kwetsbaarheid en de mogelijke gevolgen;
  • de stappen om het probleem te reproduceren, zodat wij het snel kunnen vinden en beoordelen;
  • eventuele bewijsstukken, zoals schermafbeeldingen of een proof of concept;
  • je contactgegevens, zodat we je kunnen bereiken. Je mag ook anoniem of onder een pseudoniem melden, maar dan kunnen we je niet op de hoogte houden.

Je mag in het Nederlands of in het Engels melden.

Spelregels

We vragen je om:

  • de kwetsbaarheid zo snel mogelijk na ontdekking te melden;
  • de kwetsbaarheid niet verder te misbruiken dan nodig is om haar aan te tonen. Download, wijzig of verwijder geen gegevens. Een schermafbeelding van een directorylisting of het opvragen van je eigen gegevens volstaat;
  • geen gegevens van klanten of derden in te zien, op te slaan of te delen. Kom je per ongeluk persoonsgegevens tegen, stop dan direct, meld dit en verwijder wat je eventueel hebt opgeslagen;
  • geen wijzigingen aan te brengen in onze systemen en geen achterdeur te plaatsen, ook niet om een kwetsbaarheid aan te tonen;
  • de kwetsbaarheid niet met anderen te delen of openbaar te maken totdat zij is verholpen en wij samen een moment voor openbaarmaking hebben afgesproken;
  • geen gebruik te maken van social engineering, phishing, fysieke aanvallen of het binnendringen van onze gebouwen;
  • geen aanvallen uit te voeren die de beschikbaarheid van onze diensten aantasten, zoals (D)DoS-aanvallen, en geen geautomatiseerde scans die onze systemen of die van klanten overbelasten;
  • geen brute-force-aanvallen uit te voeren op inlogpagina's en geen inloggegevens van anderen te gebruiken;
  • alleen onze eigen systemen te onderzoeken. Websites en applicaties van onze klanten die op onze servers draaien zijn eigendom van die klanten. Vind je daarin een kwetsbaarheid, meld die dan aan de klant zelf of, als dat niet lukt, aan ons, zonder verder te onderzoeken.

Wat wij beloven

  • We reageren binnen 5 werkdagen op je melding met onze eerste beoordeling en een verwachte termijn voor het oplossen.
  • We houden je op de hoogte van de voortgang.
  • We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder je toestemming met derden, tenzij we daartoe wettelijk verplicht zijn.
  • Als je je aan de spelregels houdt, doen we geen aangifte en ondernemen we geen juridische stappen tegen je in verband met je melding.
  • We lossen de kwetsbaarheid zo snel als redelijkerwijs mogelijk op, afhankelijk van de ernst en de complexiteit.
  • Als je dat wilt, vermelden we je naam als ontdekker wanneer we over de kwetsbaarheid publiceren.

Buiten scope

De volgende meldingen nemen we in de regel niet in behandeling, omdat ze geen of een zeer beperkt beveiligingsrisico opleveren of buiten onze invloed liggen:

  • ontbrekende of anders geconfigureerde HTTP-beveiligingsheaders zonder aantoonbaar misbruikscenario;
  • ontbrekende SPF-, DKIM- of DMARC-records op domeinen die niet van ons zijn, of meldingen over mailinstellingen zonder concreet misbruik;
  • clickjacking op pagina's zonder gevoelige handelingen;
  • versie-informatie van software of banners zonder bijbehorende kwetsbaarheid;
  • kwetsbaarheden die alleen werken in verouderde browsers of op gerootte of gejailbreakte apparaten;
  • meldingen uit geautomatiseerde scanners zonder verificatie en zonder uitleg van de gevolgen;
  • rate limiting of het ontbreken daarvan op niet-gevoelige formulieren;
  • kwetsbaarheden in websites, plug-ins of software van klanten of van derden;
  • (D)DoS-kwetsbaarheden, social engineering en fysieke beveiliging.

Beloning

We waarderen het als je ons helpt onze systemen veiliger te maken. Of en hoe we een melding belonen, bepalen we naar eigen inzicht, afhankelijk van de ernst van de kwetsbaarheid en de kwaliteit van de melding. Een beloning kan bijvoorbeeld bestaan uit een vermelding of een attentie. Op een beloning bestaat geen recht, en we werken niet met een vast bug-bountyprogramma.

Overige meldingen

Let op: WIWO Media stuurt alleen e-mail vanaf adressen die eindigen op @wiwomedia.nl of @cwnl.eu, en vraagt nooit per e-mail om wachtwoorden of betaalgegevens.