Beveiliging en kwetsbaarhedenmelding

De eSeGeCe-componentbibliotheken zitten in toepassingen die in productie draaien, vaak op het open internet. Wij nemen meldingen over beveiligingsfouten serieus en horen liever vroeg over een probleem dan er later elders over te lezen. Deze pagina beschrijft hoe u ons bereikt, wat er na uw bericht gebeurt en waartoe wij ons op onze beurt verbinden.

Een kwetsbaarheid melden

Gebruik ons contactformulier en zet "beveiliging" in het onderwerp. Het bereikt de ontwikkelaars rechtstreeks, niet een eerstelijns ticketwachtrij, en het is ons enige aanspreekpunt voor beveiligingszaken. U hebt geen ondersteuningscontract of geldige licentie nodig om een kwetsbaarheid te melden.

Vermeld zo veel mogelijk van het volgende:

• Product, editie en versie. Bijvoorbeeld sgcWebSockets 2026.8.0 Enterprise, of de exacte revisie als u vanuit de broncode bouwt.
• Betrokken component. De unit, de klasse of het protocol in kwestie, zoals de HTTP/2-server of de MQTT-client.
• Omgeving. Delphi- of C++ Builder-versie, doelplatform en de gebruikte TLS-backend als het probleem het transport betreft.
• Reproductie. Een minimaal project, een pakketopname of een reeks stappen. Hoe kleiner het geval, hoe sneller de oplossing.
• Impact. Wat een aanvaller ermee wint, en of authenticatie of een specifieke configuratie nodig is.

Wilt u uw melding versleutelen, zeg dat dan in een eerste bericht zonder technische details en dan spreken we een kanaal met u af.

Wat wij doen zodra een melding binnenkomt

• Ontvangstbevestiging binnen 5 werkdagen. U krijgt een antwoord van een mens dat de ontvangst bevestigt en vermeldt wie ernaar kijkt.
• Beoordeling binnen 10 werkdagen. Wij bevestigen of verwerpen de bevinding, geven u onze inschatting van de ernst en een verwachte planning.
• Oplossing. Fouten met kritieke en hoge ernst worden in een gerichte release aangepakt. Bevindingen met lagere ernst worden ingepland voor de volgende reguliere release.
• Kennisgeving. De oplossing wordt beschreven in de release-opmerkingen die met het product meekomen en gepubliceerd in het wijzigingslogboek op deze site.
• Vermelding. Wij noemen de melder in het advies als die genoemd wil worden, en zwijgen erover als die dat liever heeft.

Gecoördineerde openbaarmaking

Wij vragen u ons een redelijke termijn te geven om een oplossing uit te brengen voordat u publiceert, en de termijn waarmee wij werken is 90 dagen vanaf de datum van uw melding. Wordt een fout actief misbruikt, of duurt een oplossing langer dan verwacht, dan overleggen we met u over de timing in plaats van de klok in stilte te laten aflopen. Wij ondernemen geen juridische stappen tegen wie te goeder trouw een kwetsbaarheid meldt en zich aan dit beleid houdt.

Reikwijdte

Binnen de reikwijdte vallen de eSeGeCe-componentbibliotheken in elke ondersteunde editie, waaronder sgcWebSockets, sgcSign, sgcOpenAPI, sgcIndy en sgcBiometrics, samen met de voorbeeld- en democode die wij distribueren, en deze website.

Buiten de reikwijdte vallen bevindingen die alleen software van derden betreffen die wij niet distribueren, meldingen van een geautomatiseerde scanner zonder aangetoonde impact, en alles waarvoor u onze infrastructuur of een andere klant moet aanvallen. Voer geen denial-of-service-tests uit, val onze servers niet aan met brute kracht en raadpleeg geen gegevens die niet van u zijn.

Een kwetsbaarheid melden in een component die wij gebruiken

Betreft uw bevinding een component van derden waarop wij voortbouwen, zoals Indy, zlib of OpenSSL, meld het ons dan toch. Wij sturen de melding door naar de beheerders, zoals artikel 13(6) van de EU Cyber Resilience Act van ons verlangt, en volgen de oplossing tot in onze eigen releases.

Beveiligingsupdates en ondersteuningsperiode

Beveiligingsoplossingen worden geleverd als onderdeel van de normale productreleases, die meerdere keren per jaar verschijnen met volledige broncode. Een licentie omvat updates gedurende de abonnementsperiode, en beveiligingsoplossingen voor een hoofdversie blijven ten minste vijf jaar na uitgave beschikbaar. Omdat elke licentie de volledige broncode bevat, bent u nooit van ons afhankelijk om de code die u uitlevert te inspecteren, te patchen of opnieuw te bouwen.

Softwarestuklijst (SBOM)

Wij houden voor elke release een machineleesbare SBOM in CycloneDX-formaat bij, met de componenten op het hoogste niveau waaruit onze producten zijn opgebouwd en hun licenties. De Cyber Resilience Act verplicht fabrikanten die op te stellen en in de technische documentatie te bewaren, niet om die te publiceren. Wij verstrekken hem daarom op verzoek in plaats van hem hier te plaatsen. Licentiehouders en markttoezichtautoriteiten kunnen hem aanvragen via ons contactformulier, onder vermelding van product, editie en versie.

Regelgevende context

Beoordeelt u ons als leverancier op grond van de EU Cyber Resilience Act, Verordening (EU) 2024/2847, dan staat onze verklaring over wat de CRA betekent voor producten die met de eSeGeCe-componenten zijn gebouwd op een aparte pagina.

• De Cyber Resilience Act en de eSeGeCe-componenten

Contact

Alles op deze pagina, kwetsbaarheidsmeldingen inbegrepen, bereikt ons via ons contactformulier.