Richtlinie zur Offenlegung von Schwachstellen
Vorläufiger Text, die rechtliche Prüfung steht noch aus. Dies ist nicht die endgültige Fassung.
Übersetzung der französischen Fassung, die allein maßgeblich ist.
Die Sicherheit unserer Dienste ist uns und unseren Kunden wichtig. Wenn Sie glauben, eine Schwachstelle gefunden zu haben, melden Sie sie uns bitte. Diese Richtlinie erklärt, wie Sie vorgehen, was Sie testen dürfen und wozu wir uns verpflichten.
So erreichen Sie uns
Schreiben Sie an security@scaliamo.com. Diese Adresse steht auch in der Datei /.well-known/security.txt jeder unserer Websites und unserer Anwendung, gemäß dem Standard RFC 9116.
Geben Sie in Ihrer Nachricht nach Möglichkeit an:
- die betroffene Adresse oder Funktion;
- die Art der Schwachstelle und ihre möglichen Auswirkungen;
- die Schritte, um sie nachzuvollziehen;
- Ihre Kontaktdaten, wenn Sie eine Rückmeldung wünschen.
Sie können auf Französisch oder auf Englisch schreiben.
Geltungsbereich
Erfasst sind:
- die Websites unserer Produkte;
- unsere Anwendung, ihre API und ihr Widget.
Erfasst sind nur die Domains, die wir betreiben. Für die Dienste unserer Anbieter (Hosting, Zahlung, E-Mail-Versand) gelten deren eigene Richtlinien.
Außerhalb des Geltungsbereichs
- Denial-of-Service-Angriffe jeder Form;
- Social Engineering gegen unsere Teams, unsere Kunden oder unsere Anbieter (Phishing, Anrufe, Nachrichten);
- physische Tests an unseren Räumlichkeiten oder Geräten;
- der Massenversand von Nachrichten über unsere Formulare (Registrierung, Warteliste, Kontakt);
- automatische Massenscans mit Scannern oder Bots;
- Berichte aus einem automatischen Werkzeug ohne Nachweis einer tatsächlichen Auswirkung.
Regeln von Treu und Glauben
Wir bitten Sie:
- nur mit Ihren eigenen Konten zu testen oder mit Konten, deren Inhaber Ihnen seine Zustimmung gegeben hat;
- niemals Daten einzusehen, zu ändern, zu kopieren oder zu löschen, die Ihnen nicht gehören; wenn Sie versehentlich darauf zugreifen, hören Sie auf, bewahren Sie nichts auf und melden Sie es uns;
- sich auf das unbedingt Notwendige zu beschränken, um die Schwachstelle nachzuweisen;
- den Dienst für die anderen Nutzer nicht zu beeinträchtigen;
- die Schwachstelle weder vor ihrer Behebung noch vor dem mit uns vereinbarten Datum offenzulegen;
- keine Gegenleistung für Ihre Meldung von uns zu verlangen.
Unsere Verpflichtungen
Unsere Fristen:
- Eingangsbestätigung innerhalb von 3 Werktagen;
- erste Bewertung (Schwachstelle bestätigt oder nicht, Schweregrad) innerhalb von 10 Werktagen;
- Behebung je nach Schweregrad, mit einem Zwischenstand mindestens alle zwei Wochen;
- koordinierte Offenlegung: Wir vereinbaren mit Ihnen ein Veröffentlichungsdatum, grundsätzlich höchstens 90 Tage nach der Meldung.
Wir halten Sie über die Behebung auf dem Laufenden. Mit Ihrem Einverständnis können wir Ihren Namen in unseren Danksagungen nennen.
Kein Prämienprogramm
Wir haben kein Prämienprogramm (Bug-Bounty). Für eine Meldung wird keine finanzielle Belohnung gezahlt.
Rechtlicher Rahmen
Wir werden keine rechtlichen Schritte gegen eine Person einleiten, die eine Schwachstelle in gutem Glauben meldet und diese Richtlinie einhält. Wenn ein Dritter wegen Untersuchungen, die dieser Richtlinie entsprechen, gegen Sie vorgeht, werden wir erklären, dass Sie mit unserer Genehmigung gehandelt haben.
Diese Richtlinie berechtigt Sie weder, gegen das Gesetz zu verstoßen, noch auf die Daten unserer Kunden zuzugreifen.
Änderungen dieser Richtlinie
Wir können diese Richtlinie ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.