Kwetsbaarheid melden | Smeets Consulting

Laatst bijgewerkt op 15 augustus 2026.

Hoe je meldt

Stuur je melding naar security@smeets.consulting. Dat adres staat ook machineleesbaar in security.txt, zodat scanners en meldplatformen het vanzelf vinden. Nederlands of Engels, allebei prima.

Geef me genoeg om het na te doen:

de URL of het onderdeel waar het misgaat;
de stappen die je hebt gezet, in volgorde;
wat je verwachtte en wat er in plaats daarvan gebeurde;
waarom het volgens jou een risico is.

Een screenshot of een korte schermopname scheelt vaak een mailwisseling.

Waar het over gaat

Binnen scope vallen:

de website smeets.consulting en alles wat daaronder hangt;
de mail- en DNS-configuratie van dat domein.

Buiten scope vallen:

systemen van mijn klanten. Daar ben ik adviseur, geen eigenaar, en ik mag namens hen niets toezeggen. Meld het rechtstreeks bij die organisatie, of bij het NCSC als je er niet uitkomt.
de diensten waar deze site op draait (Cloudflare, Cloud86, Microsoft). Die hebben een eigen meldprocedure; een fout in hun platform kan ik niet oplossen. Zie je iets wat specifiek door mijn configuratie komt, dan hoor ik dat juist wel graag.

Wat ik niet als kwetsbaarheid behandel

Dit is een statische site zonder login, zonder database en zonder formulier. Daardoor valt een deel van de gebruikelijke meldingen hier weg:

uitvoer van een geautomatiseerde scanner, zonder dat je hebt laten zien wat er misgaat;
een ontbrekende header, cookievlag of TLS-instelling zonder scenario waarin het tot schade leidt;
adviezen over SPF, DKIM of DMARC zonder aantoonbaar misbruik. Die configuratie is bewust zoals hij is;
het ontbreken van rate limiting, captcha of accountbeveiliging op een site zonder account;
self-XSS, of clickjacking op een pagina waar niets te klikken valt;
zichtbare software- of versienummers;
meldingen die vooral een verkoopgesprek zijn.

Wat ik van je vraag

Meld het zo snel mogelijk nadat je het vindt.
Doe niet meer dan nodig is om het aan te tonen. Dus geen wachtwoorden kraken, geen gegevens van anderen bekijken, kopiëren, wijzigen of verwijderen, niets aan de site veranderen en geen bestanden achterlaten.
Geen denial of service, geen stresstests, geen scans die de site onderuit halen.
Geen social engineering van mij of van anderen, en geen fysieke pogingen.
Deel het niet met anderen voordat het opgelost is. Wil je erover publiceren, dan stemmen we het moment samen af.

Wat je van mij krijgt

binnen vijf werkdagen een reactie van een mens, geen automatisch ontvangstbericht;
een inschatting van wat ik ermee ga doen, en bericht zodra het opgelost is;
vermelding met je naam als je dat wilt, of juist niet. Jij kiest, ik zet niets zonder overleg online.
geen juridische stappen en geen aangifte, zolang je je aan de spelregels hierboven houdt en niet verder gaat dan nodig. Wat ik niet kan doen, is dat namens Cloudflare, Cloud86 of Microsoft toezeggen; daar gelden hun eigen voorwaarden.

Geen bug bounty

Ik betaal geen beloning. Dit is een eenmanszaak en geen bugbountyprogramma, en ik doe liever geen toezegging die ik niet waarmaak. Een goede melding krijgt wel een serieuze behandeling, en dat vind ik het minste wat ik ervoor terug kan doen.

Versleuteld melden

Wil je je melding versleutelen, dan kan dat met OpenPGP. Veel mailprogramma's halen de sleutel automatisch op zodra je een bericht aan security@smeets.consulting opstelt, via Web Key Directory. Handmatig kan ook:

gpg --locate-keys security@smeets.consulting

De sleutel staat daarnaast als tekstbestand op /.well-known/pgp-key.txt. Controleer de vingerafdruk voordat je hem gebruikt:

F232E649CE44E72A1DE548B27E2F08687F74D823

De security.txt op deze site is met dezelfde sleutel ondertekend, dus je kunt de vingerafdruk ook daarlangs leggen.