Meldung von Sicherheitslücken

Wir nehmen Hinweise auf Schwachstellen ernst und arbeiten gern mit Sicherheitsforschern zusammen. Diese Seite beschreibt, wie du uns eine Lücke meldest.

Was dazugehörtCopy Anchor Link

• gmjd-consulting.com und alle Subdomains, also etwa Dashboard, Teams, Docs und die Pläne-Seite
• die Schnittstellen, die diese Seiten im Browser aufrufen

Was nicht dazugehörtCopy Anchor Link

• Dienste von Drittanbietern, etwa Stripe, Cloudflare, Auth0 oder Vercel. Melde Funde dort direkt beim Anbieter.
• Social Engineering und Phishing gegen unser Team oder unsere Nutzer
• Angriffe auf die Verfügbarkeit (DoS) und das massenhafte Durchprobieren von Passwörtern
• Self-XSS, also Code, den jemand nur in seinem eigenen Browser ausführt
• Berichte aus automatischen Scannern ohne nachgewiesene Auswirkung

So meldest duCopy Anchor Link

Schreib an security@gmjd-consulting.com. Hilfreich sind:

• eine Beschreibung der Schwachstelle,
• die Schritte, mit denen sie sich nachstellen lässt,
• die Auswirkung, also was ein Angreifer damit tun könnte,
• auf Wunsch ein Vorschlag, wie sie sich beheben lässt.

Was du von uns erwarten kannstCopy Anchor Link

• Wir bestätigen dir den Eingang deiner Meldung.
• Wir prüfen sie und sagen dir, wie wir sie einschätzen.
• Wir halten dich auf dem Laufenden, bis die Lücke behoben ist.
• Den Zeitpunkt einer Veröffentlichung stimmen wir mit dir ab.

Regeln für TestsCopy Anchor Link

Wir verfolgen keine rechtlichen Schritte gegen Forscher, die sich an diese Regeln halten:

• Du meldest die Lücke nach dieser Seite und veröffentlichst sie nicht, bevor sie behoben ist.
• Du rufst keine Daten anderer Nutzer ab und änderst oder löschst keine. Brauchst du ein zweites Konto für einen Test, leg dir selbst eines an.
• Du beeinträchtigst nicht die Verfügbarkeit der Plattform.
• Du gibst uns angemessen Zeit, die Lücke zu beheben.

PrämienCopy Anchor Link

Derzeit zahlen wir keine Prämien für gemeldete Lücken.