Richtlinie zur Meldung von Schwachstellen
Chargezen freut sich über Meldungen zu Sicherheitslücken, auf die du stößt. Diese Richtlinie gilt nur für Meldungen: Aktive Tests der Produktivsysteme von Chargezen sind nicht autorisiert.
Schwachstelle melden
Ein Sicherheitsproblem gefunden? Melde es uns und untersuche es nicht weiter. Wir schätzen deine Hilfe dabei, Chargezen sicher zu halten.
Erwartete Antwortzeit
24 Stunden
Kritische Probleme: am selben Werktag
Was du melden kannst
- Sicherheitsprobleme, die dir bei der Nutzung von Chargezen für dein Unternehmen auffallen
- Zugangsdaten, Schlüssel oder Kundendaten von Chargezen, die du öffentlich zugänglich findest
- Probleme, die du bei der Offline-Prüfung von Open-Source-Code unter github.com/chargezen findest
Nicht autorisiert
- Aktive Tests der Produktivsysteme von Chargezen, einschließlich Scans, Penetrationstests und Fuzzing
- Erstellen von Konten, Workspaces oder Mitarbeiterplätzen, um die Dienste zu testen
- Last-, Stress- oder Performance-Benchmarks der Dienste
- Denial-of-Service-Angriffe (DoS/DDoS)
- Angriffe auf die physische Sicherheit oder Social Engineering
- Zugriff auf Daten, die dir nicht gehören, sowie deren Änderung oder Speicherung
Richtlinien zur verantwortungsvollen Offenlegung
Was wir von dir erwarten
- Beschreiben, was dir aufgefallen ist und wo
- Uns vor der Offenlegung angemessene Zeit zur Behebung geben (90 Tage)
- Nicht auf Daten anderer zugreifen und diese weder ändern noch löschen
- Produktivsysteme von Chargezen nicht testen, scannen oder ausforschen
- Aufhören, sobald dir ein Problem auffällt, und es nicht weiter untersuchen
- Keine Daten behalten, die du gesehen hast, und sie nach deiner Meldung löschen
Was wir zusagen
- Innerhalb von 24 Stunden auf Berichte antworten
- Gemeinsam mit dir Probleme verstehen und bestätigen
- Dich über den Fortschritt der Behebung informieren
- Keine rechtlichen Schritte wegen Meldungen einleiten, die in gutem Glauben nach dieser Richtlinie erfolgen
- Dich öffentlich nennen (mit deiner Zustimmung)
Was dein Bericht enthalten sollte
Klare Berichte helfen uns, Probleme schneller zu beheben. Wir zahlen keine Prämien für Meldungen oder Tests.
Art der Schwachstelle
Klassifizierung (XSS, SQLi, IDOR usw.)
Betroffene URL oder Endpunkt
Genauer Ort der Schwachstelle
Was du gesehen hast
Was bei normaler Nutzung passiert ist und wie du darauf gestoßen bist
Belege
Screenshots oder Notizen zu dem, was du gesehen hast, ohne Exploit-Code
Folgenabschätzung
Mögliche Auswirkungen bei Ausnutzung durch einen Angreifer
Vorgeschlagene Behebung
Optionale, aber willkommene Empfehlungen
Schutz vor rechtlichen Schritten
Dieser Schutz gilt für Meldungen in gutem Glauben zu einer Sicherheitslücke, die du ohne aktive Tests entdeckt hast, wenn du aufgehört hast, sobald sie dir aufgefallen ist, nicht weiter darauf zugegriffen oder sie ausgenutzt und keine Daten behalten hast. Er gilt nicht für aktive Tests von Produktivsystemen, die unsere Nutzungsbedingungen verbieten. Für diese Meldungen gilt:
- Keine rechtlichen Schritte: Wir werden wegen deiner Meldung keine zivil- oder strafrechtlichen Schritte gegen dich einleiten.
- Zusammenarbeit: Wir arbeiten mit dir zusammen, um das Problem schnell zu verstehen und zu beheben.
- Hilfreich: Wir stimmen die Offenlegung mit dir ab und nennen dich auf Wunsch bei der Veröffentlichung von Behebungen.
Bereit für eine Meldung?
Hilf uns, Chargezen sicher zu halten. Wenn du auf eine Sicherheitslücke gestoßen bist, melde sie unserem Sicherheitsteam.
