Beveiliging

Verantwoord melden van kwetsbaarheden

Heb je een beveiligingsprobleem in Mijn Kapper gevonden? Meld het ons vertrouwelijk, zodat we het kunnen oplossen voordat het salons of hun klanten raakt. Dit beleid volgt de Nederlandse richtlijn voor Coordinated Vulnerability Disclosure (CVD) van het NCSC.

Versie 1.0, geldig vanaf

Hoe meld je?

Mail naar security@robomiri.com. Een account of ondertekening is niet nodig. Open geen publiek issue of social-mediabericht over een kwetsbaarheid. Machineleesbare contactgegevens staan in /.well-known/security.txt (RFC 9116).

Vermeld zo veel mogelijk van het volgende:

  • Een beschrijving van de kwetsbaarheid en de mogelijke impact.
  • Stappen om het probleem na te bootsen, of een proof-of-concept.
  • De betrokken URL, het endpoint of onderdeel, en het tijdstip (met tijdzone) van je testverzoeken, zodat we ze in onze logs kunnen terugvinden.
  • Of je het probleem al met anderen hebt gedeeld.
  • Optioneel: je naam en hoe je vermeld wilt worden.

We publiceren geen PGP-sleutel. Zet daarom geen gevoelige gegevens (zoals wachtwoorden of persoonsgegevens) in je eerste e-mail; wij spreken dan met je een veilig kanaal af.

Reikwijdte

Wat valt binnen en buiten scope

Binnen scope

  • Onze website, app en API op mijn-kapper.robomiri.com, inclusief de dashboard-, admin-, marketing-, storefront- en widget-onderdelen.
  • De door ons gehoste salonsites op tenant-subdomeinen van bovenstaande domeinen en op eigen domeinen die salons aan Mijn Kapper koppelen, voor zover het gaat om ons platform. De eigen inhoud en andere systemen van de salon vallen hier niet onder.
  • Omzeiling van authenticatie of autorisatie, met name of de ene salon of ZZP-kapper bij de gegevens van een andere kan (multi-tenant platform: dit beoordelen we als kritiek).
  • Injectie (SQL, XSS, SSRF) en gebrekkige toegangscontrole.
  • Blootgestelde geheimen of inloggegevens.
  • Manipulatie van betaalstromen (Mollie-betalingen en applicatievergoedingen).

Buiten scope

  • Kwetsbaarheden in het eigen product of de infrastructuur van leveranciers (bijvoorbeeld Mollie, zie de privacyverklaring). Meld die bij de leverancier zelf.
  • Social engineering, phishing en fysieke aanvallen op ons team of onze klanten.
  • Denial-of-service of belastingtests.
  • Scanneruitvoer zonder aangetoonde, uitbuitbare impact (bijvoorbeeld een ontbrekende header zonder aanvalsscenario).
  • Problemen die een gerooted apparaat of een fysiek gestolen, ontgrendeld apparaat vereisen.
  • Demodata en lokale ontwikkelconfiguratie.

Spelregels

Wat we van je vragen

  • Gebruik alleen accounts en gegevens die je zelf voor de test hebt aangemaakt, of waarvoor je uitdrukkelijk toestemming hebt.
  • Kijk niet in gegevens van andere salons, ZZP-kappers of hun klanten. Verzamel niet meer gegevens dan nodig is om de kwetsbaarheid aan te tonen en stop zodra je bewijs hebt. Kom je toch persoonsgegevens tegen, meld dat dan direct en bewaar ze niet.
  • Verwijder alle gegevens die je bij het onderzoek hebt verkregen zodra we het probleem hebben bevestigd, uiterlijk binnen 30 dagen na je melding.
  • Voer geen aanvallen uit die de dienst voor echte salons of klanten kunnen verstoren: geen denial-of-service, geen destructieve tests en geen massale testberichten naar echte klantcontactgegevens.
  • Pas geen social engineering toe en probeer niet fysiek binnen te dringen.
  • Deel het probleem met niemand anders en publiceer het niet voordat het is opgelost of we daarover afspraken hebben gemaakt. Geef ons redelijke tijd om het te onderzoeken en te verhelpen.

Onze toezeggingen

Wat je van ons kunt verwachten

  • Een bevestiging van ontvangst binnen 3 werkdagen.
  • Een eerste beoordeling (bevestigd, niet reproduceerbaar of meer informatie nodig) binnen 10 werkdagen.
  • We houden je op de hoogte van de voortgang en laten het weten zodra de oplossing live staat.
  • Ons streven is een bevestigd probleem binnen 90 dagen op te lossen. Kritieke problemen, zoals toegang tot gegevens van een andere salon, pakken we met voorrang aan. Lukt het niet binnen die termijn, dan overleggen we met je.
  • Handel je te goeder trouw en volgens dit beleid, dan doen we geen aangifte en ondernemen we geen juridische stappen tegen je.
  • We behandelen je melding vertrouwelijk en delen je persoonsgegevens niet zonder jouw toestemming met derden, tenzij de wet ons daartoe verplicht.
  • Op verzoek noemen we je als melder zodra het probleem is opgelost.
  • Mijn Kapper heeft geen bug-bountyprogramma en biedt geen geldelijke beloning voor meldingen.

Gecoördineerde publicatie

Wil je het probleem publiceren, dan stemmen we het moment en de inhoud met je af, bij voorkeur nadat de oplossing live staat. Komen we er niet uit, dan vragen we je maximaal 90 dagen na je melding te wachten met publiceren. Zelf publiceren wij, waar dat voor onze klanten nuttig is, een samenvatting van het probleem en de oplossing, in overleg met jou.

Contact en verantwoordelijke

Beveiligingsmeldingen: security@robomiri.com. Overige vragen: hallo@robomiri.com.

RoboMiri (handelend onder de naam Mijn Kapper)
Platostraat 108, 3076 BP Rotterdam, Nederland
KvK: 42037140
Btw-id: NL004398812B54

Dit beleid is versie 1.0, geldig vanaf 1 oktober 2026. Het beschrijft hoe wij met meldingen omgaan en wijzigt geen overeenkomst die je met ons hebt.

In English

Responsible disclosure

Found a security issue in Mijn Kapper? Email security@robomiri.com instead of opening a public issue, with a description, reproduction steps and the affected URL. We publish no PGP key; please keep sensitive data out of the first message and we will agree a secure channel.

In scope: our platform on mijn-kapper.robomiri.com, including tenant subdomains and connected custom domains (our platform only, not the salon's own content), authentication and authorization bypass, any cross-tenant data access (treated as critical), injection, exposed secrets and payment-flow manipulation. Out of scope: sub-processors' own products, social engineering, physical attacks, denial-of-service and scanner output without demonstrated impact.

Rules: access no more data than needed to prove the issue, never touch other tenants' data, delete what you obtained, disrupt no service and give us reasonable time to fix before disclosing.

We acknowledge reports within 3 business days, give an assessment within 10 business days, keep you informed, and aim to fix confirmed issues within 90 days. We will not report you to the police or take legal action if you follow this policy, and we credit reporters on request. We treat reports confidentially and do not share your personal data with third parties without your consent unless the law requires it. We do not run a bug bounty and pay no monetary rewards. Policy version 1.0, effective 2026-10-01.