- Top reward
- No cash rewards
- Top severity paid
- Not published
- Assets in scope
- 2
- Public CVEs
- 0
- Last change
- No changes yet
At a glance
What to know before you start testing.
- No cash rewards
- A disclosure program: you report for credit, not money.
- Report by email
- [email protected]
- Partial safe harbor
- Some legal protection; read the terms.
- Replies within 5 days
- As the policy promises.
- Publish after a fix
- Coordinate the timing with the company.
Rewards
What the company's own policy page says it pays.
This program does not pay cash rewards.
- Pays cash
-
No
De beloning zal nooit in geldelijke vorm zijn.
- Response
-
Within 5 days
De RDW reageert binnen 5 werkdagen op uw melding met de beoordeling van de melding.
- Safe harbor
-
Partial
Als uw melding aan de bovenstaande voorwaarden voldoet, verbindt de RDW geen juridische consequenties aan deze melding.
- Hall of fame
-
Yes
In onderling overleg kan de RDW, als u dit wenst, uw naam vermelden als de ontdekker van de gemelde kwetsbaarheid.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Scope
2 assets you may test.
Domains 1
- rdw.nl
Products and areas 1
- ICT-systemen van de RDW
Rules
What the policy asks of you, and the bug types it won't reward, quoted from RDW's policy. "We" in these lines means the program, not this site.
While testing
-
Zo snel mogelijk na ontdekking van de kwetsbaarheid deze aan de RDW door te geven door uw bevindingen te e-mailen naar the address on the policy page .
-
Voldoende informatie te geven om het probleem te reproduceren zodat we dit zo snel mogelijk kunnen verhelpen.
-
De informatie over het beveiligingsprobleem niet met anderen te delen totdat dit is opgelost.
-
Verantwoordelijk om te gaan met de kennis van het beveiligingsprobleem door geen handelingen te verrichten die verder gaan dan noodzakelijk om het beveiligingsprobleem aan te tonen.
-
Het plaatsen van malware of enige software op het RDW-systeem.
-
Het kopiëren, wijzigen of verwijderen van gegevens of configuraties van een systeem (een alternatief hiervoor is het maken van een directorylisting of screenshot).
-
Het gebruik van het zogeheten ‘bruteforcen’ om toegang tot systemen te verkrijgen.
-
Het gebruik van ‘denial-of-service’ aanvallen of ‘social engineering’.
-
Het verder uitnutten van de kwetsbaarheid dan noodzakelijk is om de kwetsbaarheid vast te stellen.
-
Het aanbrengen van veranderingen in het RDW-systeem anders dan noodzakelijk om de kwetsbaarheid vast te stellen.
Not accepted
-
Het gebruik van geautomatiseerde scantools en stuur geen niet-geverifieerde output van dergelijke tools.
-
Alleen door de melder geverifieerde beveiligingsfouten worden door de RDW in behandeling genomen.
Summarised with AI from the company's policy, read 12 Nov 2026, and checked word for word against it. Read the original
Changes
Tracked since 12 Nov 2026. Last checked 2 hours ago.
No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.
Public CVEs
Published vulnerabilities in this vendor's products, from the NVD.
No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.