Responsible Disclosure

So melden Sie eine Schwachstelle

Senden Sie eine E-Mail an hello@clavix360.app mit:

einer klaren Beschreibung des Problems;
Schritten zur Reproduktion, einschließlich eines etwaigen Proof-of-Concept;
der betroffenen URL oder Komponente;
Ihren Kontaktdaten, damit wir Rückfragen stellen können.

Bitte nutzen Sie einen sicheren Kanal und verzichten Sie darauf, Details öffentlich zu machen, bis wir eine angemessene Gelegenheit zur Reaktion hatten.

Geltungsbereich

Im Geltungsbereich:

clavix360.app und die von uns betriebenen Subdomains;
die Clavix360°-Plattform und ihre öffentlichen APIs.

Außerhalb des Geltungsbereichs:

Drittanbieterdienste, die wir integrieren (bitte an den jeweiligen Anbieter melden);
Social-Engineering-Angriffe auf unsere Mitarbeiter oder Kunden;
Denial-of-Service- oder Lasttests;
Probleme, die physischen Zugriff auf das Gerät eines Nutzers erfordern.

Safe Harbour bei gutgläubigem Handeln

Wenn Sie in gutem Glauben handeln, diese Richtlinie einhalten und Datenschutzverletzungen, Datenzerstörung und Dienststörungen vermeiden, werden wir keine rechtlichen Schritte gegen Ihre Forschungstätigkeit einleiten und Ihre Meldung vertraulich behandeln. Diese Genehmigung erstreckt sich nicht auf Handlungen, die gegen geltendes Recht verstoßen.

Was Sie unterlassen sollten

Bitte unterlassen Sie es,

auf Daten zuzugreifen, sie zu ändern oder zu löschen, die Ihnen nicht gehören;
Daten in einem Umfang zu exfiltrieren, der über das zur Demonstration des Problems erforderliche Maß hinausgeht;
den Dienst zu stören, Brute-Force-Angriffe oder Lasttests durchzuführen;
automatisierte Scanner einzusetzen, die ohne vorherige Abstimmung übermäßigen Datenverkehr erzeugen;
Social-Engineering- oder physische Sicherheitstests durchzuführen.

Unsere Reaktion

Wir bemühen uns,

Ihre Meldung innerhalb von fünf Werktagen zu bestätigen;
die Meldung zu bewerten und Ihnen innerhalb von zehn Werktagen eine Statusaktualisierung zukommen zu lassen;
Sie über den Fortschritt der Untersuchung und Behebung auf dem Laufenden zu halten.

Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm; mit Ihrer Zustimmung würdigen wir wertvolle Beiträge gerne öffentlich in Form einer Hall-of-Fame.

Kontakt