Sicherheit
Sicherheitsschwachstelle melden
Wenn Sie eine Schwachstelle in euphile.eu oder in einem der Plattformprodukte gefunden haben, teilen Sie es uns mit. Wir lesen jede Meldung, wir antworten allen, die uns etwas melden, und wir würdigen Ihren Beitrag, wenn das Problem behoben ist.
Ihre Meldung
Mit * gekennzeichnete Felder sind Pflichtfelder. Schreiben Sie nach Möglichkeit auf Englisch. Wir lesen Meldungen auch in jeder EU-Sprache.
Die Regeln
Was Sie testen dürfen
- euphile.eu und jeder Dienst unter euphile.eu: die Anwendungen, die Administrationskonsolen und die APIs.
- Die zehn Plattformprodukte, einschließlich ihrer Desktop-Anwendungen und Add-ins, in ihrer neuesten veröffentlichten Version.
- Jedes andere von uns betriebene System, das Kundendaten enthält.
Was nicht zum Geltungsbereich gehört
- Dienste, die Dritte betreiben und die wir nur nutzen. Melden Sie diese dem jeweiligen Betreiber.
- Denial of Service, Lasttests und jeder Test, der den Dienst für andere verlangsamt oder unterbricht.
- Social Engineering, Phishing und physische Angriffe auf unser Personal, unsere Kunden oder unsere Büros.
- Ergebnisse automatisierter Scanner ohne nachgewiesene, ausnutzbare Auswirkung.
- Fehlende Sicherheits-Header, Cookie-Flags oder E-Mail-Authentifizierungseinträge, es sei denn, Sie zeigen einen konkreten Angriff.
- Self-XSS, Clickjacking auf Seiten ohne sensible Aktion und die Offenlegung von Softwareversionen.
- Prompts, die ein KI-Modell zu unerwünschten Aussagen bringen, es sei denn, sie überschreiten eine Sicherheitsgrenze: Daten eines anderen Kunden, ein Geheimnis oder eine Aktion, die der Nutzer nicht ausführen darf.
Wie Sie testen
- Verwenden Sie nur Konten, die Ihnen gehören, oder Konten, deren Inhaber Ihnen eine schriftliche Erlaubnis gegeben hat.
- Wenn Sie auf Daten stoßen, die nicht Ihnen gehören, hören Sie auf. Kopieren, speichern oder teilen Sie sie nicht, und erwähnen Sie es in Ihrer Meldung.
- Tun Sie nur, was nötig ist, um das Problem nachzuweisen: keine Änderungen oder Löschungen, keine Persistenz und kein Vordringen in andere Systeme.
- Halten Sie automatisierten Datenverkehr unter 5 Anfragen pro Sekunde.
- Teilen Sie die Details mit niemandem, bis wir eine Behebung veröffentlicht haben oder bis 90 Tage nach Ihrer Meldung, je nachdem, was zuerst eintritt. Wir können gemeinsam einen anderen Termin vereinbaren.
- Verlangen Sie keine Zahlung dafür, dass Sie nichts offenlegen. Das ist Erpressung, keine Forschung.
Wozu wir uns verpflichten
- Wir bestätigen den Eingang innerhalb von 2 Arbeitstagen.
- Wir senden innerhalb von 5 Arbeitstagen eine erste Bewertung mit unserer Einstufung des Schweregrads.
- Wir halten Sie mindestens einmal im Monat auf dem Laufenden, bis das Problem gelöst ist.
- Wir teilen Ihnen mit, wenn die Behebung veröffentlicht ist, und vereinbaren mit Ihnen, wann der Sicherheitshinweis veröffentlicht wird.
- Mit Ihrer Zustimmung nennen wir Sie namentlich im Sicherheitshinweis und in den Danksagungen.
Safe Harbor
- Wenn Sie in gutem Glauben handeln und diese Regeln befolgen, betrachten wir Ihre Forschung als autorisiert. Wir werden deswegen keine rechtlichen Schritte gegen Sie einleiten und niemanden unterstützen, der dies tut.
- Wenn ein Dritter wegen Forschung, die diese Regeln befolgt hat, gegen Sie vorgeht, werden wir bekannt machen, dass Ihre Forschung autorisiert war.
- Dies gilt für Systeme, die wir besitzen und betreiben. Tests an Systemen, die anderen gehören, können wir nicht autorisieren.
Belohnungen
- Jede gültige Meldung wird mit Ihrer Zustimmung gewürdigt.
- Für einen eigenständigen Fund mit hohem oder kritischem Schweregrad können wir eine finanzielle Belohnung anbieten. Ob wir eine anbieten und in welcher Höhe, entscheiden wir anhand der Auswirkung und der Qualität der Meldung. Eine Belohnung ist nicht garantiert.
- Melden mehrere Personen dasselbe Problem, zählt die erste vollständige Meldung.
- Wir können keine Belohnung zahlen, wo das Gesetz es verbietet, oder an Personen, die gegen diese Regeln verstoßen haben.