November 2025: Dit artikel is bijgewerkt om het nieuwste bonusuitkeringsschema weer te geven. De maximale uitkering is gestegen van $10.000 naar $100.000.

Net als bij Proton Mail hebben we Proton VPN gebouwd met de nadruk op beveiliging. Vandaag lanceren we een Bug Bounty-programma om de beveiliging van Proton VPN verder te verbeteren.

Voor het beheren van een VPN-dienst is beveiliging niet alleen nodig voor de VPN-verbindingen en -protocollen zelf. Beveiliging is ook nodig voor de onderliggende serverinfrastructuur, de webpagina’s en dashboards, de VPN-toepassingen zelf, het betalingssysteem en ook de gebruikersdatabases. Om de privacy van gebruikers goed te beschermen, moeten we alle aspecten van de dienst beschermen tegen in gevaar brengen.

Bij het bouwen van Proton VPN hebben we gebruikgemaakt van de beveiligingsexpertise die we hebben opgedaan met het runnen van de grootste beveiligde e-maildienst ter wereld(nieuw venster). We hebben ook samengewerkt met bijdragers aan de beveiliging van Proton Mail(nieuw venster) en de bredere community om alle aspecten van Proton VPN te versterken. Onlangs hebben we samengewerkt met Mazin Ahmed(nieuw venster), die al lange tijd bijdraagt aan de beveiliging van Proton Mail, om een uitgebreide beveiligingsaudit van Proton VPN uit te voeren en extra hardening toe te voegen.

Met ons bug bounty-programma kunnen we het werk dat we dagelijks al doen om Proton VPN-gebruikers te beschermen, uitbreiden. Daarom lanceren we nu Proton VPN officieel is gestart, een van de eerste dingen die we doen: het Proton VPN Bug Bounty-programma. Met dit programma nodigen we beveiligingsexperts van over de hele wereld uit om zwakke plekken in Proton VPN te vinden, en betalen we beloningen (bounties) voor beveiligingsproblemen die via dit programma aan ons worden gemeld. Als u een beveiligingsonderzoeker bent, kunt u ook deelnemen aan het Proton Mail Bug Bounty-programma(nieuw venster).

Proton VPN Bug Bounty-programma

Regels

Bereik: Het programma is beperkt tot de servers en de web-, desktop- en mobiele toepassingen die door Proton VPN worden beheerd. Onze profielen op Facebook, Twitter, LinkedIn, Eventbrite, enz. komen niet in aanmerking. Sites die in aanmerking komen zijn onder meer:

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [Let op: .ch en niet .com]

De Proton VPN-toepassingen voor Windows, MacOS, Linux, iOS en Android vallen ook onder dit programma.

Beoordeling: De jury die de beloningen vaststelt, bestaat uit ontwikkelaars van Proton VPN en Proton Mail, bijgestaan door een of meer externe experts die deel uitmaken van onze beveiligingsgroep. Deelnemers aan het programma stemmen ermee in de definitieve beslissing van de jury te respecteren.

Verantwoorde openbaarmaking: We verzoeken u alle kwetsbaarheden aan ons te melden via security@proton.me. Wij zijn van mening dat het in strijd is met de geest van dit programma om het lek aan derden bekend te maken voor andere doeleinden dan het daadwerkelijk oplossen van de bug. Deelnemers stemmen ermee in gevonden bugs niet bekend te maken voordat ze zijn opgelost en de openbaarmaking af te stemmen met ons team via onze uitgaveopmerkingen om verwarring te voorkomen.

Verantwoord testen: Hack geen gebruikersaccounts, beschadig geen databases en lek geen gegevens die gevoelig kunnen zijn. We raden ook kwetsbaarheidstests af die de kwaliteit van de dienst voor onze gebruikers aantasten. Neem bij twijfel gerust contact op met ons beveiligingsteam via security@proton.me.

Naleving van de regels: Door deel te nemen aan dit programma stemt u ermee in de bovenstaande regels en voorwaarden na te leven. Alle regels moeten worden gevolgd om in aanmerking te komen voor beloningen.

Kwetsbaarheden die in aanmerking komen

Elk ontwerp- of implementatieprobleem dat de vertrouwelijkheid of integriteit van gebruikersgegevens wezenlijk aantast, valt waarschijnlijk onder het bereik van het programma. Dit omvat, maar is niet beperkt tot:

Webtoepassingen

  • Cross-site scripting
  • Cross-site request forgery
  • Mixed-contentscripts
  • Fouten in verificatie of autorisatie
  • Bugs bij code-uitvoering aan serverzijde
  • Kwetsbaarheden in REST API’s

Server

  • Ongeoorloofde shell-toegang
  • Privilege-escalatie
  • Uitvoering van code op afstand

Toepassingen

  • Fouten in verificatie of autorisatie
  • Inbreuk op de lokale gegevensbeveiliging (zonder rooting)

We geloven in nauwe samenwerking met beveiligingsonderzoekers en zijn bereid technische gegevens zoals API-specificaties, broncode of infrastructuurgegevens te delen met geselecteerde onderzoekers, met als doel de beveiliging voor alle Proton Mail-gebruikers te verbeteren. Neem contact op met security@proton.me voor meer gegevens.

Verbeteringen die in aanmerking komen

Soms worden bounties toegekend voor verbetervoorstellen die niet in een van de bovenstaande categorieën vallen. Dit wordt per geval bepaald door ons team. Hieronder vallen zaken zoals:

  • Verbeteringen aan de serverconfiguratie
  • Firewallconfiguraties
  • Verbeterde DoS/DDoS-beveiligingen
  • Openbaarmaking van pad/informatie

Kwetsbaarheden die niet in aanmerking komen

  • Fouten die verouderde browsers treffen (sorry, beveiligingsproblemen in IE6 komen niet in aanmerking)
  • Beveiligingsproblemen buiten het bereik van het bedreigingsmodel van Proton VPN
  • Phishing(nieuw venster) of aanvallen met social engineering
  • Bugs die uiterst onwaarschijnlijke gebruikersinteracties vereisen
  • WordPress-bugs (maar meld deze alstublieft bij WordPress)
  • Verouderde software – Om verschillende redenen draaien we niet altijd de meest recente softwareversies, maar we draaien wel software die volledig is gepatcht
  • Softwarebugs in OpenVPN of IKEv2 (maar meld deze alstublieft bij de auteurs)

Beloningsbedragen

De hoogte van de bounty die we betalen, wordt per geval bepaald en hangt grotendeels af van de ernst van het probleem. Om een bounty te ontvangen, moet u meestal de eerste persoon zijn die een probleem meldt, hoewel er soms uitzonderingen worden gemaakt. Hieronder vindt u globale richtlijnen voor de beloning:

  • Maximale beloning: USD 100.000.
  • Kritieke ernst: USD 25 000 – USD 50 000 – Ontdekking van een kwetsbaarheid die volledige, langdurige ongeoorloofde controle over de serviceomgeving mogelijk maakt, of de vertrouwelijkheid of integriteit van de gegevens van alle gebruikers in gevaar brengt zonder dat daarvoor speciale voorwaarden of voorafgaande toegang nodig zijn.
  • Hoge ernst: USD 2 500 – USD 25 000 – Ontdekking van een kwetsbaarheid die leidt tot langdurige ongeoorloofde controle over een groot deel van de serviceomgeving, of tot een aanzienlijke schending van de vertrouwelijkheid of integriteit van gegevens die een brede groep gebruikers treft – zonder dat daarvoor speciale voorwaarden of voorafgaande toegang nodig zijn – maar die de volledige service nog niet in gevaar brengt.
  • Gemiddelde ernst: USD 1 000 – USD 2 500 – Ontdekking van een kwetsbaarheid die ongeoorloofde controle over een deel van de serviceomgeving mogelijk maakt, of de integriteit of vertrouwelijkheid van gebruikersgegevens van één gebruiker of een kleine groep in gevaar brengt. Daarnaast kwetsbaarheden met een bredere impact waarvoor aanzienlijke interactie van de gebruiker of specifieke voorwaarden nodig zijn, maar die toch leiden tot de blootstelling van gevoelige gegevens of beveiligingsmaatregelen.
  • Lage ernst: per geval, standaard geen geldelijke beloning – Ontdekking van een kwetsbaarheid met een beperkte impact of met onwaarschijnlijke omstandigheden.

Richtlijnen voor het melden

Meld problemen aan security@proton.me. Problemen moeten worden gemeld met duidelijke instructies over het reproduceren van het probleem en/of een proof of concept.

Met vriendelijke groet,
Het Proton-team