Responsible Disclosure

Klantel hecht veel belang aan de beveiliging van zijn platform en de gegevens van zijn gebruikers. Als u een kwetsbaarheid ontdekt, stellen we het op prijs als u ons dat op een verantwoorde manier laat weten.

Onafhankelijke beveiligingsmonitoring

De code en afhankelijkheden van Klantel worden continu gescand door Aikido Security op kwetsbaarheden, blootgestelde secrets en verouderde dependencies. Zo worden beveiligingsproblemen snel opgespoord en verholpen.

Het publieke security-rapport wordt binnenkort hier gekoppeld.

Meld een kwetsbaarheid

Stuur uw bevinding per e-mail naar security@klantel.be. Vermeld bij voorkeur:

Een beschrijving van de kwetsbaarheid en de mogelijke impact
Stappen om het probleem te reproduceren
Betrokken URL of component
Uw contactgegevens (optioneel)

Beveiligingsmaatregelen

Klantel past onder andere de volgende technische beveiligingsmaatregelen toe:

Versleutelde verbindingen (TLS) voor alle communicatie.
Wachtwoorden worden gehashd met bcrypt (kostfactor 12); nooit in klare tekst opgeslagen.
HttpOnly-sessiecookies met SameSite-instelling ter bescherming tegen CSRF en XSS.
Rate-limiting van inlogpogingen per gebruiker en per IP-adres.
Persistente beveiligingslog van inlogpogingen (IP-adres, browser-identificatie en resultaat — succes, mislukt of geblokkeerd), bewaard gedurende 90 dagen voor fraudepreventie en incidentonderzoek.
Hash-keten op het audit-logboek om ongeoorloofde wijzigingen te detecteren.
Multi-tenant isolatie: data van verschillende organisaties is strikt gescheiden.

Onze aanpak

Wij bevestigen uw melding binnen 3 werkdagen.
Wij beoordelen de kwetsbaarheid en informeren u over de ernst en de verwachte oplossingstermijn.
Kritieke problemen worden binnen 7 dagen verholpen; minder kritieke binnen 30 dagen.
Wij publiceren een melding in onze changelog zodra het probleem is opgelost, tenzij u anonimiteit wenst.

Spelregels

Wij vragen onderzoekers om:

Geen gegevens in te zien of te wijzigen die niet van u zijn.
Geen denial-of-service-aanvallen uit te voeren.
Het probleem niet publiek te maken vóór wij het hebben opgelost.
Enkel systemen te testen die u zelf beheert of waarvoor u uitdrukkelijk toestemming hebt.

Als u zich aan deze regels houdt, ondernemen wij geen juridische stappen tegen uw onderzoek. Wij bieden op dit moment geen bug-bounty-programma aan, maar erkennen uw bijdrage in onze changelog (indien gewenst).

Versleutelde communicatie

Voor gevoelige meldingen kunt u uw bericht versleutelen met onze PGP-publieke sleutel. Importeer de sleutel via de downloadlink hieronder of kopieer het blok rechtstreeks.

Key-ID: DE7F D900 CF09 DA8A

Fingerprint: CED5 74BB F3A1 E247 7396 E508 DE7F D900 CF09 DA8A

Algoritme: RSA 4096-bit · aangemaakt 2026-06-12

E-mail: security@klantel.be

↓ Download .asc

Toon publieke sleutel (PGP armor-formaat)

Importeer via GPG: gpg --import pgp-public-key.asc

Scope

In scope voor responsible disclosure:

klantel.be en alle subdomeinen
Authenticatie & sessies (login, 2FA, wachtwoordreset)
Multi-tenant isolatie (IDOR, cross-tenant datalek)
Billing & Stripe-integratie
API-endpoints & server actions

Buiten scope: sociale engineering, phishing, DDoS, kwetsbaarheden in derde-partijdiensten (Stripe, Resend en Europese cloud-hosting).