Auf dieser Seite

Richtlinie zur Meldung von Sicherheitslücken

Wir nehmen Sicherheit ernst und schätzen die Hinweise sicherheitsbewusster Personen, die dazu beitragen, unsere Community zu schützen. Wenn Sie glauben, ein Sicherheitsproblem auf unserer Plattform entdeckt zu haben, bitten wir Sie, es umgehend zu melden. Wir verpflichten uns, jede Meldung zu untersuchen, und arbeiten eng mit Ihnen zusammen, um bestätigte Sicherheitslücken zu überprüfen und zu beheben. Zum Schutz unserer Community bitten wir Sie, diese Informationen vertraulich zu behandeln, bis das Problem behoben ist.

Geltungsbereich der Richtlinie

Diese Richtlinie gilt für alle von uns verwalteten Websites und Dienste. Wenn Sie sich nicht sicher sind, ob die von Ihnen entdeckte Sicherheitslücke in den Geltungsbereich fällt, halten Sie sich bitte an die hierin aufgeführten Richtlinien.

Durchführung von Sicherheitsforschung

Sie dürfen verantwortungsvolle Sicherheitstests für unsere Dienste durchführen, auf die Sie autorisierten Zugriff haben. Ihre Forschung darf jedoch nicht:

  1. gegen geltende Gesetze verstoßen.
  2. Daten ändern oder löschen, die nicht Ihnen gehören.
  3. auf nicht autorisierte Daten zugreifen oder versuchen, darauf zuzugreifen.
  4. Denial-of-Service-Angriffe ausführen.
  5. Lasttests durchführen.

Ausnahmen können nach der ersten Meldung nach Ermessen unseres Sicherheitsteams in Betracht gezogen werden.

Richtlinien für die Meldung

Um ein Problem zu melden, senden Sie Ihre Erkenntnisse bitte per E-Mail an security@ideanote.io und geben Sie dabei die folgenden Informationen an:

  • Ziel: Geben Sie an, wo die Sicherheitslücke besteht (z. B. Hauptwebsite, Cloud-Dienst usw.).
  • Typ: Ordnen Sie die Sicherheitslücke einer Kategorie zu (z. B. DoS, Umgehung der Authentifizierung usw.).
  • Beschreibung: Beschreiben Sie das Problem ausführlich, einschließlich der Schritte zur Reproduktion und etwaiger Annahmen.
  • URL / Ort: (Optional) Die genaue URL, unter der die Sicherheitslücke entdeckt wurde.
  • Kontaktinformationen: (Optional) Alternative Kontaktmöglichkeiten, um Sie zu erreichen.

Bitte beachten Sie: Wir unterstützen derzeit keine GPG-Verschlüsselung. Sie erhalten innerhalb von 48 Stunden eine Empfangsbestätigung und innerhalb von drei Werktagen eine ausführliche Rückmeldung.

Gültige Meldungen

Bitte sehen Sie davon ab, Meldungen zu folgenden Themen einzureichen:

  • Bekannte öffentliche Dateien oder Verzeichnisse.
  • Sperrrichtlinien bei DoS-Angriffen.
  • Vorschläge zu DNS- und E-Mail-Konfigurationen.
  • Phishing oder Social Engineering.
  • iFrame-Einbettungen, X-Frame-Optionen, Clickjacking
  • Sicherheitsflags für nicht sensible Cookies.

Zeitplan für die Offenlegung

Bei gültigen Meldungen wird unser Sicherheitsteam:

  1. Ihre Meldung bestätigen.
  2. Versuchen, die Auswirkungen der Meldung zu überprüfen und zu bewerten.
  3. Das Problem bestätigen oder zurückweisen und die Gründe dafür angeben.
  4. Relevanten Code auf ähnliche Schwachstellen überprüfen.
  5. Korrekturen vorbereiten.
  6. Sobald Maßnahmen zur Risikominderung bereitstehen, einen Sicherheitshinweis veröffentlichen.

Vergütung

Wir bieten derzeit keine finanziellen Belohnungen für die Meldung von Schwachstellen an. Nach Bestätigung Ihrer Meldung können wir jedoch unter Umständen bestimmte Forschungskosten erstatten, sofern dies zuvor schriftlich genehmigt wurde.

Wir freuen uns auf Ihre Zusammenarbeit und danken Ihnen dafür, dass Sie uns dabei unterstützen, eine sichere Umgebung für alle zu gewährleisten.