unopost

Responsible disclosure-beleid

Laatst bijgewerkt: 15 oktober 2026

Dit is een vertaling van het Engelse origineel, die voor uw gemak ter beschikking wordt gesteld; bij enig verschil heeft de Engelse versie voorrang, en het Engelse origineel staat op https://unopost.com.au/responsible-disclosure

1. Inleiding

Wij verwelkomen meldingen van iedereen die denkt een kwetsbaarheid in Unopost te hebben gevonden. Dit Responsible disclosure-beleid (het ‘Beleid’) legt uit hoe u een kwetsbaarheid meldt, welke regels u bij het zoeken in acht moet nemen en wat wij in ruil daarvoor doen. Het wordt gepubliceerd door AWS, CYY & Co. Pty Ltd (ACN 686 116 245) als Trustee van Mumu, Lulu & Co. (ABN 54 837 123 965), die Unopost exploiteert.

Wij hebben geen betaald bugbountyprogramma en keren geen beloningen uit voor meldingen. Met uw toestemming bedanken wij u op deze pagina bij naam zodra het probleem is verholpen.

2. Reikwijdte

Dit Beleid geldt voor:

Het geldt niet voor diensten van anderen die wij gebruiken, zoals Square, Australia Post of Amazon Web Services. Meld problemen daarin bij de betreffende aanbieder.

3. Hoe u meldt

Stuur een e-mail naar support@unopost.com.au met ‘Security’ in de onderwerpregel. Vermeld daarin:

  • Een beschrijving van het probleem en de gevolgen die het volgens u heeft
  • De betreffende URL, het betreffende endpoint of de betreffende functie
  • Stapsgewijze instructies om het te reproduceren, met eventuele proof-of-conceptcode, schermafbeeldingen of verzoeken
  • Hoe wij contact met u kunnen opnemen, en of u bij naam bedankt wilt worden

Hebt u een openbaar geworden sleutel, wachtwoord of ander geheim gevonden, laat het ons dan direct weten en gebruik het niet. Schrijf indien mogelijk in het Engels.

4. Wat wij van u vragen

Bij het zoeken naar en melden van een kwetsbaarheid moet u:

  • alleen testen met accounts, documenten en Brieven die van u zijn, of waarvoor u toestemming van de eigenaar hebt
  • direct stoppen zodra u persoonsgegevens, documenten of andere gegevens bereikt die niet van u zijn, en ons laten weten waartoe u toegang hebt gehad. Kopieer, bewaar, wijzig of verwijder deze niet en deel ze met niemand
  • de Dienst niet verstoren of onderbreken, ook niet door denial-of-serviceaanvallen, belastingtests of geautomatiseerde scans op grote schaal
  • geen Brieven naar iemand versturen zonder diens toestemming, en geen berichten sturen aan onze klanten, hun ontvangers of onze medewerkers
  • geen social engineering, phishing of fysieke aanvallen gebruiken tegen onze medewerkers, panden of dienstverleners
  • geen betaalkaart, Zakelijk Tegoed of inloggegevens van een ander gebruiken
  • alleen doen wat nodig is om aan te tonen dat de kwetsbaarheid bestaat
  • de details vertrouwelijk houden totdat wij het probleem hebben verholpen, of tot 90 dagen na uw melding als dat eerder is, tenzij wij met u iets anders afspreken
  • zich aan de wet houden

5. Wat wij doen

Als u een kwetsbaarheid meldt in overeenstemming met dit Beleid, zullen wij:

  • uw melding binnen 2 werkdagen bevestigen
  • u laten weten of wij het probleem kunnen reproduceren, en u op de hoogte houden van onze voortgang
  • ernaar streven een bevestigde kwetsbaarheid binnen 90 dagen te verhelpen, en eerder als die persoonsgegevens in gevaar brengt
  • u laten weten wanneer het probleem is verholpen, en u bij naam bedanken als u daarom hebt gevraagd

Als het probleem persoonsgegevens betrof, beoordelen wij het en stellen wij de betrokken personen en het Office of the Australian Information Commissioner daarvan in kennis zoals beschreven in Artikel 11 van ons Privacybeleid (https://unopost.com.au/privacy).

6. Vrijwaring (safe harbour)

Als u te goeder trouw en in overeenstemming met dit Beleid handelt, beschouwen wij uw onderzoek als toegestaan, ondernemen wij in verband daarmee geen juridische stappen tegen u en doen wij geen aangifte tegen u. Als een derde juridische stappen tegen u onderneemt voor onderzoek dat aan dit Beleid voldeed, maken wij bekend dat uw onderzoek door ons was toegestaan.

Dit geldt niet als u dit Beleid hebt geschonden, meer hebt geopend dan nodig was, of betaling hebt gevraagd in ruil voor het niet openbaar maken van een probleem. Twijfelt u of iets wat u van plan bent is toegestaan, vraag het ons dan eerst via support@unopost.com.au.

7. Wat wij niet als kwetsbaarheid beschouwen

Het volgende valt in het algemeen buiten dit Beleid, tenzij u een werkelijke impact op de beveiliging van de Dienst of onze gebruikers kunt aantonen:

  • Meldingen van geautomatiseerde scanners zonder werkende proof of concept
  • Het enkele ontbreken van beveiligingsheaders, cookievlaggen of records voor e-mailauthenticatie (SPF, DKIM, DMARC)
  • Clickjacking op pagina's zonder handeling die schade kan veroorzaken
  • Self-XSS, of problemen waarvoor fysieke toegang tot het ontgrendelde apparaat van een gebruiker nodig is
  • Het prijsgeven van softwareversies, of het ontbreken van rate limits bij handelingen zonder gevolgen voor de beveiliging
  • Denial of service, en kwetsbaarheden in de diensten van derden die in Artikel 2 worden genoemd

8. Wijzigingen van dit Beleid

Wij kunnen dit Beleid op elk moment wijzigen door een nieuwe versie op deze pagina te publiceren. Op een melding is de versie van toepassing die gepubliceerd was op het moment dat u de melding deed.