Coordinated Vulnerability Disclosure
Heb je een kwetsbaarheid ontdekt in een van onze systemen? Meld het ons, zodat we samen de veiligheid en betrouwbaarheid van onze systemen kunnen verbeteren.
Op deze pagina
Onze toezegging
Bij Wellcom Health staan de beveiliging van onze systemen en de bescherming van de gegevens van patiënten en zorgprofessionals voorop. Ondanks onze inspanningen kunnen er kwetsbaarheden bestaan. We waarderen de rol van securityonderzoekers, ethische hackers en onze gebruikers bij het veilig houden van onze systemen.
We hanteren een Coordinated Vulnerability Disclosure-programma (CVD), grotendeels in lijn met de richtlijn van het NCSC, om verantwoord melden te stimuleren. Vind je een kwetsbaarheid? Meld die bij ons, zodat we hem snel kunnen verhelpen.
In scope
Alle kwetsbaarheden die de veiligheid en vertrouwelijkheid raken van applicaties en diensten die Wellcom Health via internet aanbiedt, waaronder:
-
Web- en mobiele applicaties, portalen en API's onder onze controle, zoals
wellcom.nl,portaal.wellcom.nl,support.wellcom.nl,wellcom-health.nl,portaal.wellcom-health.nlensupport.wellcom-health.nl. - Beheerportalen, klant- en tenantomgevingen en documentatieportalen die Wellcom Health host.
- Assets van derden of in de cloud die Wellcom Health uitdrukkelijk heeft aangewezen.
Wat je kunt melden
- Cross-site scripting (XSS)
- SQL- of NoSQL-injectie
- Broken access control en IDOR
- Configuratiefouten, zoals een te ruime CORS-instelling of blootgestelde secrets
- Blootstelling van gevoelige gegevens (persoonsgegevens of medische gegevens), CSRF, SSRF, XXE en RCE
- Een open redirect met aantoonbare impact
Buiten scope
- Domeinen en assets die niet onder Wellcom Health vallen.
- Niet-exploiteerbare of triviale bevindingen, zoals 404- of 500-codes, bannerinformatie of
robots.txt. - Clickjacking zonder gevoelige actie.
- Adviezen over SPF, DKIM of DMARC zonder concreet misbruikrisico.
- Meldingen over verouderde versies zonder werkende proof of concept van de impact.
- Problemen die alleen verouderde of niet-ondersteunde browsers raken.
Geen kanaal voor andere vragen. Deze CVD-regeling is alleen voor beveiligingskwetsbaarheden. Voor vragen over beschikbaarheid of het product, en voor het melden van phishing, gebruik je de gewone supportkanalen.
Onderzoeksrichtlijnen
Wel doen
- Meld zo snel als redelijkerwijs mogelijk.
- Houd je melding vertrouwelijk en publiceer niets voordat het probleem is opgelost.
- Geef genoeg details om het te reproduceren: URL's, IP-adressen, rollen, stappen en een proof of concept.
- Beperk je verificatie tot wat nodig is om het bestaan van de kwetsbaarheid aan te tonen.
Niet doen
- Geen schade toebrengen aan gebruikers, systemen, gegevens of beschikbaarheid.
- Geen backdoors plaatsen, geen blijvende toegang houden en geen toegang delen of hergebruiken.
- Geen gegevens kopiëren, wijzigen of verwijderen. Een directory listing als bewijs mag.
- Geen brute force, social engineering, DDoS, spam, fysieke aanvallen of inzet van derden.
- Geen verstoring van onlinediensten of productieomgevingen.
Onze beloftes
- Handel je te goeder trouw en binnen deze regels, dan ondernemen we geen juridische stappen tegen je vanwege je onderzoek.
- Stuur je melding naar support@wellcom-health.nl, of dien een ticket in.
- Onze doelen: een eerste reactie binnen 1 werkdag, beoordeling binnen 2 werkdagen en een oplossing binnen 30 dagen, afhankelijk van de impact en de complexiteit.
- We houden je op de hoogte en stemmen een publicatie na de oplossing met je af.
- We delen je persoonsgegevens niet zonder toestemming met derden, tenzij de wet ons daartoe verplicht. Anoniem of onder een pseudoniem melden mag.
English
Have you found a vulnerability in one of our systems? Please report it, so that together we can improve the security and reliability of our systems.
Our commitment
At Wellcom Health, the security of our systems and the protection of patient and clinician data are top priorities. Despite our best efforts, vulnerabilities may still exist. We value the role of security researchers and our community in helping us keep our systems safe.
We have adopted a Coordinated Vulnerability Disclosure (CVD) programme, largely aligned with NCSC-NL guidance, to encourage responsible reporting of potential security vulnerabilities. If you discover a vulnerability, please report it so we can remediate it promptly.
In scope
All vulnerabilities affecting the safety and confidentiality of Wellcom Health's internet-facing applications and services, including:
-
Web and mobile apps, portals and APIs under our control, such as
wellcom.nl,portaal.wellcom.nl,support.wellcom.nl,wellcom-health.nl,portaal.wellcom-health.nlandsupport.wellcom-health.nl. - Admin portals, customer and tenant environments, and documentation portals hosted by Wellcom Health.
- Third-party or cloud assets explicitly designated by Wellcom Health.
What to report
- Cross-site scripting (XSS)
- SQL or NoSQL injection
- Broken access control and IDOR
- Security misconfiguration, such as overly permissive CORS or exposed secrets
- Sensitive data exposure (personal or medical data), CSRF, SSRF, XXE and RCE
- Open redirect with demonstrable impact
Out of scope
- Domains and assets not controlled by Wellcom Health.
- Non-exploitable or trivial findings, such as 404 or 500 codes, banner information or
robots.txt. - Clickjacking without a sensitive action.
- SPF, DKIM or DMARC recommendations without a concrete abuse impact.
- Reports of outdated software versions without a working proof of concept of the impact.
- Issues that only affect obsolete or unsupported browsers.
Not for other questions. This CVD policy is for security vulnerabilities only. For availability or product questions, or to report phishing, please use our regular support channels.
Research guidelines
Do
- Report as quickly as reasonably possible.
- Keep your report confidential and do not disclose anything until the issue is resolved.
- Provide enough detail to reproduce the issue: URLs, IP addresses, roles, steps and a proof of concept.
- Limit verification to what is necessary to establish that the vulnerability exists.
Don't
- No actions that cause damage to users, systems, data or availability.
- No backdoors, no persistence, and no sharing or reusing of access.
- No copying, modifying or deleting of data. A directory listing as proof is acceptable.
- No brute force, social engineering, DDoS, spam, physical attacks or use of third parties.
- No disruption of online services or production environments.
What we promise
- If you act in good faith and within these rules, we will not take legal action against you because of your research.
- Send your report to support@wellcom-health.nl, or submit a ticket (the form is in Dutch).
- Our targets: a first response within 1 business day, triage within 2 business days and a resolution within 30 days, depending on impact and complexity.
- We will keep you informed of our progress and coordinate any publication after the issue is resolved.
- We will not share your personal details with third parties without your consent, unless the law requires us to. Anonymous and pseudonymous reports are accepted.
© 2026 Wellcom Health. This CVD policy is largely based on NCSC-NL guidance. Safe harbour applies when you act in good faith and proportionally within these rules. Personal data is processed in line with applicable law (GDPR).
Kom je er niet uit?
Dien een ticket in. Je krijgt meteen een ticketnummer per mail en we houden je op de hoogte.
Stuur nooit patiëntgegevens mee, ook niet in een screenshot.