Beveiliging

Laatst bijgewerkt: 16 september 2026

Kwetsbaarheid melden

Heb je een beveiligingsprobleem of kwetsbaarheid gevonden in Tussenuur.info? Meld het dan direct aan ons, zodat we het kunnen oplossen voordat het openbaar wordt. Dat heet coordinated disclosure (verantwoord melden).

Hoe melden

• Stuur een e-mail naar support@tussenuur.info.
• Zet in het onderwerp "Security: [korte omschrijving]".
• Beschrijf zo precies mogelijk: wat het probleem is, hoe het te reproduceren is en (indien van toepassing) welke stappen je al hebt uitgevoerd.

Wat wij beloven

• Wij reageren binnen 5 werkdagen met een bevestiging.
• Wij behandelen je melding vertrouwelijk en houden je op de hoogte.
• Wij maken de kwetsbaarheid niet eerder openbaar dan nodig en vermelden je bijdrage alleen met jouw toestemming.
• Wij ondernemen geen juridische stappen tegen melders die zich aan dit beleid houden en te goeder trouw handelen.

Wat wij vragen

• Maak geen misbruik van de kwetsbaarheid en benader alleen de gegevens die nodig zijn om het probleem aan te tonen.
• Plaats geen kwetsbaarheid openbaar voordat wij de kans hebben gehad om deze te verhelpen.
• Vernietig eventueel verkregen gegevens na afloop en deel ze niet met derden.

Wat wij doen aan beveiliging

• Versleutelde verbindingen (HTTPS) via Let's Encrypt.
• Wachtwoorden gehasht met scrypt, nooit leesbaar opgeslagen.
• Wij vragen nooit je Magister-wachtwoord: je importeert je rooster via een iCal-link of HTML-export. Tweestapsgeheimen slaan wij versleuteld op (AES-256-GCM).
• Tweestapsverificatie (TOTP), back-upcodes en passkeys (WebAuthn) als extra bescherming van je account.
• Beveiligingsheaders via Helmet, sessies in een beveiligde, httpOnly-cookie en rate limiting op de API.
• Toegangsbeperking tot systemen en een beheerderslog (auditlog).

Uitgesloten meldingen

Niet ieder technisch detail is een beveiligingsprobleem. Wij beschouwen onder meer de volgende zaken niet als kwetsbaarheid: het ontbreken van DNSSEC, rate-limiting die na een herstart opnieuw begint, en punten die al in de documentatie of in dit beleid worden genoemd. E-mailbeveiliging is ingericht met SPF, DKIM en DMARC.

Contact

Tussenuur.info · support@tussenuur.info