Richtlinie zur Meldung von Schwachstellen
Chargezen begrüßt die verantwortungsvolle Offenlegung von Schwachstellen durch Sicherheitsforscher. Wir setzen uns dafür ein, gemeinsam mit der Sicherheitscommunity unsere Kunden zu schützen.
Schwachstelle melden
Ein Sicherheitsproblem gefunden? Bitte melde es verantwortungsvoll. Wir schätzen deine Hilfe dabei, Chargezen sicher zu halten.
Erwartete Antwortzeit
24 Stunden
Kritische Probleme: am selben Werktag
Im Geltungsbereich
- chargezen.com und alle Subdomains
- admin.chargezen.com (Händler-Dashboard)
- api.chargezen.com (REST- und GraphQL-APIs)
- Mobile Chargezen-Anwendungen (iOS, Android)
- Chargezen-Browsererweiterungen
- Open-Source-Projekte unter github.com/chargezen
Außerhalb des Geltungsbereichs
- Drittanbieterdienste und Integrationen
- Persönliche Konten oder Geräte von Chargezen-Mitarbeitern
- Angriffe auf die physische Sicherheit oder Social Engineering
- Denial-of-Service-Angriffe (DoS/DDoS)
- Spam oder Social Engineering
- Bereits gemeldete Schwachstellen
- Probleme, die physischen Zugriff auf Geräte erfordern
Bug-Bounty-Prämien
Prämien richten sich nach Schweregrad, Auswirkung und Qualität des Berichts.
Kritisch
Remote-Code-Ausführung, SQL-Injection, Umgehung der Authentifizierung, Datenschutzverletzung
US$5.000 - US$15.000
Beispiele:
Hoch
Erhebliche Datenoffenlegung, Rechteausweitung, gespeichertes XSS mit Auswirkungen
US$1.000 - US$5.000
Beispiele:
Mittel
Begrenzte Datenoffenlegung, CSRF, reflektiertes XSS, Offenlegung von Informationen
US$250 - US$1.000
Beispiele:
Niedrig
Geringfügige Probleme, Verstöße gegen bewährte Verfahren, Informationsfreigabe mit geringen Auswirkungen
US$50 - US$250
Beispiele:
Richtlinien zur verantwortungsvollen Offenlegung
Was wir von dir erwarten
- Detaillierte Berichte mit Schritten zur Reproduktion bereitstellen
- Uns vor der Offenlegung angemessene Zeit zur Behebung geben (90 Tage)
- Nicht auf Daten anderer zugreifen und diese weder ändern noch löschen
- Keine Angriffe durchführen, die den Dienst beeinträchtigen (DoS)
- Keine automatisierten Scan-Tools ohne Abstimmung verwenden
- In gutem Glauben handeln, um Datenschutzverletzungen zu vermeiden
Was wir zusagen
- Innerhalb von 24 Stunden auf Berichte antworten
- Gemeinsam mit dir Probleme verstehen und bestätigen
- Dich über den Fortschritt der Behebung informieren
- Keine rechtlichen Schritte wegen Forschung in gutem Glauben einleiten
- Forscher öffentlich würdigen (mit Erlaubnis)
- Prämien nach der Validierung zeitnah auszahlen
Was dein Bericht enthalten sollte
Hochwertige Berichte helfen uns, Probleme schneller zu beheben, und können zu höheren Prämien führen.
Art der Schwachstelle
Klassifizierung (XSS, SQLi, IDOR usw.)
Betroffene URL oder Endpunkt
Genauer Ort der Schwachstelle
Schritte zur Reproduktion
Klare, nummerierte Schritte, denen jeder folgen kann
Machbarkeitsnachweis
Screenshots, Videos oder Code, die das Problem zeigen
Folgenabschätzung
Mögliche Auswirkungen bei Ausnutzung durch einen Angreifer
Vorgeschlagene Behebung
Optionale, aber willkommene Empfehlungen
Schutz vor rechtlichen Schritten
Wenn Sicherheitsforschung gemäß dieser Richtlinie durchgeführt wird, betrachten wir sie als:
- Autorisiert: Wir werden keine zivil- oder strafrechtlichen Schritte gegen Forscher einleiten, die in gutem Glauben handeln.
- Rechtmäßig: Wir arbeiten mit dir zusammen, um Probleme schnell zu verstehen und zu lösen, und erstatten keine Anzeige gegen Forscher, die diese Richtlinie einhalten.
- Hilfreich: Wir stimmen die Offenlegung mit dir ab und nennen dich auf Wunsch bei der Veröffentlichung von Behebungen.
Bereit für eine Meldung?
Hilf uns, Chargezen sicher zu halten. Reiche deinen Schwachstellenbericht ein und werde Teil unserer Security Hall of Fame.
