1. Hoe we je account beveiligen
- Overal HTTPS. more.you, de app, de MCP-server en gepubliceerde pagina's lopen via HTTPS. Eigen domeinen krijgen automatisch een certificaat.
- Inloggen met Google. Je logt in met je Google-account, dus More.You ziet je Google-wachtwoord nooit. Een wachtwoord uit een eerdere registratie wordt alleen als bcrypt-hash bewaard.
- Beveiligde sessies. Inlogcookies zijn beveiligd en HTTP-only, dus scripts op een pagina kunnen ze niet lezen.
- AI-koppelingen die jij bepaalt. AI Control koppelt een assistent via OAuth. Jij keurt elke koppeling goed en je kunt hem verwijderen.
- Geen geheimen in code. Sleutels en wachtwoorden staan in AWS Systems Manager Parameter Store.
- Bescherming tegen misbruik. Limieten op het aantal inlog- en registratiepogingen, en een controle dat elk verzoek dat gegevens wijzigt van onze eigen site komt.
- Betalingen via Stripe. Kaartgegevens gaan rechtstreeks naar Stripe. Wij zien of bewaren nooit kaartnummers.
Het Privacybeleid legt uit welke gegevens we bewaren en met wie we ze delen.
2. Een kwetsbaarheid melden
Mail naar security@more.you en vermeld:
- een beschrijving van het probleem en wat een aanvaller ermee kan doen;
- stappen om het na te bootsen, met proof-of-concept-code of screenshots;
- waar het zit, bijvoorbeeld more.you, app.more.you of mcp.more.you;
- je naam of gebruikersnaam, als je vermeld wilt worden.
Zet een kwetsbaarheid alsjeblieft niet in een openbaar issue, een review of een social-mediapost.
3. Reikwijdte
Binnen de reikwijdte
- more.you en de subdomeinen die wij beheren, waaronder app.more.you en api-app.more.you.
- Gepubliceerde pagina's op more.you/<name> en op gekoppelde eigen domeinen.
- De More.You MCP-server op mcp.more.you/api en de OAuth-inlog.
Buiten de reikwijdte
- Problemen in diensten die wij gebruiken, zoals Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare en de sociale netwerken. Meld die bij het bedrijf dat ze beheert.
- Problemen in AI-assistenten die verbinding maken met onze MCP-server, zoals ChatGPT, Claude en Gemini.
- Aanvallen waarvoor fysieke toegang tot het apparaat van een slachtoffer nodig is, social engineering van ons personeel, of denial of service door verkeersvolume.
- Problemen die al openbaar zijn.
- Meldingen waarbij je geen echte schade kunt aantonen.
4. Regels voor testen
- Test alleen op je eigen account en je eigen pagina's.
- Lees, wijzig of verwijder geen gegevens van anderen. Kom je er per ongeluk bij, stop dan en vertel ons wat je zag.
- Draai geen geautomatiseerde scans die de Dienst voor anderen vertragen.
- Probeer geen betaling te krijgen van een pagina die niet van jou is, en gebruik geen kaarten die je niet mag gebruiken.
5. Safe harbour
Als je je in goed vertrouwen inspant om dit beleid te volgen tijdens je onderzoek, beschouwen we je onderzoek als toegestaan. We werken met je samen om het probleem te begrijpen en snel op te lossen, en we starten of steunen daarover geen juridische stappen.
6. Gecoördineerde openbaarmaking
Geef ons een redelijke termijn om het probleem te onderzoeken en op te lossen voordat je het openbaar maakt. Is het opgelost, dan vermelden we je graag in elke openbare mededeling.
7. security.txt
We publiceren /.well-known/security.txt volgens RFC 9116, met hetzelfde contactadres en een link naar deze pagina.
8. Houd je account veilig
- Zet tweestapsverificatie aan voor het Google-account waarmee je inlogt.
- Verwijder AI-assistenten en Stripe-koppelingen die je niet meer gebruikt.
- We vragen nooit per e-mail om je wachtwoord. Vraagt een e-mail erom, stuur hem dan door naar security@more.you.
