Beveiliging en kwetsbaarheden melden

1Hoe je een melding doet

Mail security@partyppl.nl of gebruik het meldformulier op security.partyppl.nl. Elke melding leest een mens. Zet erin wat je vond, op welke URL of in welke app, en hoe je het nadoet. Een kort filmpje of een paar screenshots helpen meer dan een scannerrapport van veertig pagina's.

Gevoelige details kun je versleutelen met onze PGP-sleutel. Hoeft niet: een onversleutelde melding is beter dan geen melding.

1. Een incident of een risicovolle melding (gegevens van anderen, inloggen, betalen of tickets): binnen 1 tot 2 uur een reactie van een mens, altijd, ook in het weekend. Een algemene vraag over beveiliging: binnen 1 tot 2 werkdagen.
2. Binnen tien werkdagen hoor je of we het erkennen, wat de impact volgens ons is en wanneer we het oplossen.
3. Is het opgelost, dan hoor je het en mag je erover publiceren.

We vragen je 90 dagen te wachten met publiceren, of korter als we eerder klaar zijn. Loopt het uit, dan zeggen we waarom.

PartyPPL is een klein platform zonder beveiligingsafdeling. We betalen geen bug bounty. Wel: snel antwoorden, eerlijk zijn over wat we wel en niet oplossen, en je met naam noemen als je dat wilt.

Wat we doen om PartyPPL en je gegevens veilig te houden, en hoe we een incident afhandelen, staat op security.partyppl.nl.

2Wat binnen de scope valt

Alles op partyppl.nl en subdomeinen, en het korte adres pppl.app: de site, het organisatorportaal, de API onder /api/v1 en de MCP-server, de ticketflow, de Apple Wallet-dienst, het koppelen van een Apple TV, de widget- en Live Activity-feeds, de e-mails die we sturen, en de apps voor iPhone, iPad, Apple Watch, Mac en Apple TV.

• Toegang tot gegevens van een ander account: tickets, chats, e-mailadressen, geboortedatums, widgetgegevens.
• Inloggen, de 18+-check of de rollen in het organisatorportaal omzeilen.
• Injectie in de database, de pagina of de zoekindex.
• Fouten in de betaal- of ticketflow waarmee je een ticket krijgt zonder te betalen, of het ticket van een ander; ook via doorverkoop, doorgeven of een Wallet-pas.
• Uploads van anderen lezen of aanpassen, of in de afgeschermde opslag van organisaties komen.
• Een Apple TV of API-token aan andermans account hangen.

Buiten de scope: alleen een scannerrapport, ontbrekende headers zonder werkend misbruik, TLS-instellingen van onze CDN-leverancier, self-XSS, social engineering, fysieke toegang, en diensten van derden zoals Stripe, Resend, Cloudflare, OVHcloud, Apple of Anthropic. Meld die bij hen.

3Spelregels bij het onderzoek

Test alleen op je eigen account en je eigen data. Kom je bij gegevens van een ander, stop dan meteen, bewaar niets en zet in je melding hoeveel je zag.

• Geen geautomatiseerde scans op inloggen, betalen en tickets. Die raken echte bezoekers aan de deur.
• Geen denial of service, geen loadtests, geen spam naar onze mailverzending of pushmeldingen.
• Geen echte betalingen terugboeken, geen tickets van anderen scannen of doorverkopen.
• Geen gegevens van anderen downloaden, bewaren of delen, en niets aanpassen of verwijderen wat niet van jou is.
• Geen achterdeur achterlaten en geen toegang vasthouden nadat je hebt aangetoond dat het kan.

Houd je je hieraan, dan zien we je onderzoek als te goeder trouw en ondernemen we geen juridische stappen. Namens onze leveranciers kunnen we dat niet beloven.

4Erkenning

Wie een kwetsbaarheid meldt die we bevestigen en oplossen, komt hier te staan met de naam of handle die je kiest, de maand en een regel over wat het was. Anoniem mag ook.

Nog niemand. Er is nog geen melding bevestigd. Deze lijst is leeg omdat hij eerlijk is, niet omdat hij vergeten is.

5Werken aan beveiliging bij PartyPPL

Vacatures staan op vacatures.partyppl.nl, met een open sollicitatie voor wie er niet bij staat.

Zin om mee te bouwen? Solliciteer daar of mail info@partyppl.nl met waar je goed in bent. We zoeken eerder mensen die een pentest kunnen draaien en uitleggen dan mensen die een rapport doorsturen.

6PGP-sleutel

Versleutel gevoelige details met deze sleutel. Controleer de vingerafdruk voordat je hem gebruikt.

Sleutel

/.well-known/pgp-key.txt

Vingerafdruk

E5D2 6476 4523 7FA9 9C0C A348 34DE 15CF CFE7 5F58

Hoort bij

security@partyppl.nl. De sleutel noemt daarnaast een ouder adres als tweede gebruikers-id; stuur je melding naar security@partyppl.nl.

Type

Curve25519 (EdDSA), aangemaakt 17 september 2026, zonder vervaldatum

Het machineleesbare beleid staat in /.well-known/security.txt.

Wat is er veranderd

• 19 oktober 2026: melden kan ook met het formulier op security.partyppl.nl, waar ook staat wat we doen om PartyPPL veilig te houden. OVHcloud, waar onze servers staan, en fysieke toegang staan nu bij wat buiten de scope valt. Vacatures staan op vacatures.partyppl.nl.
• 17 oktober 2026: meld een kwetsbaarheid op security@partyppl.nl, het adres dat ook vooraan in security.txt staat (het komt in dezelfde mailbox als info@). De PGP-sleutel hoort bij dat adres.
• De scope noemt nu ook de apps, de MCP-server, Apple Wallet, het koppelen van een Apple TV, de widgetfeeds en pppl.app.
• Spelregels aangevuld voor betalingen, doorverkoop en pushmeldingen.