Diese Seite ist eine Übersetzung zu Ihrer Orientierung. Weicht sie von der englischen Version ab, ist die englische Version maßgeblich. Englische Version lesen
Verantwortungsvolle Offenlegung
Sicherheitslücke gefunden? Sagen Sie es uns, bevor es jemand anderes auf die harte Tour herausfindet.
Wir nehmen Meldungen externer Sicherheitsforscher ernst und hören lieber direkt von Ihnen, als im Nachhinein einen Bericht zu finden. Diese Seite legt fest, was im Geltungsbereich liegt, wie Sie melden und was Sie von uns erwarten können.
Geltungsbereich
Was diese Richtlinie abdeckt.
Im Geltungsbereich
- myshieldid.com und die zugehörigen US-Seiten unter myshieldid.com/us, die Weiterleitungsdomains shieldid.ca und myshieldid.ca sowie deren Subdomains, einschließlich der Marketing-Website, des Verifizierungsablaufs und des Kontoportals
- Die öffentliche ShieldID API
- Authentifizierung, Sitzungsverwaltung und Zugriffskontrolle in jedem von ShieldID betriebenen System
Außerhalb des Geltungsbereichs
- Produkte und Websites, die wir nicht betreiben, auch wenn sie ShieldID nutzen (RentKey, Crown Ledger und Trust Ledger haben eigene Sicherheitskontakte)
- Dienste Dritter, die wir einbinden, es sei denn, das Problem liegt in der Art, wie wir sie verwenden
So melden Sie
Schreiben Sie uns eine E-Mail. Erstellen Sie nicht zuerst ein öffentliches Issue und veröffentlichen Sie nichts vorab.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Bitte geben Sie an:
- Die Art des Problems und die betroffene URL, der Endpunkt oder das System
- Schritte zur Reproduktion oder ein Proof of Concept
- Worauf Sie zugreifen oder was Sie erreichen konnten und wie Sie es bestätigt haben
- Verwendete Tools oder Skripte, damit wir Ihre Schritte genau nachvollziehen können
Was wir zusagen
Eine Eingangsbestätigung, eine echte Prüfung und keine rechtlichen Konsequenzen für Recherchen in gutem Glauben.
Eingangsbestätigung
Wir streben an, eine gültige Meldung innerhalb von drei Werktagen nach Eingang zu bestätigen. Das ist ein Ziel, das wir öffentlich nennen, kein gemessener Durchschnitt.
Eine echte Untersuchung
Jede Meldung wird von jemandem geprüft, der darauf reagieren kann, und nicht von einem Formular gefiltert, das ins Leere läuft.
Keine rechtlichen Schritte bei Recherchen in gutem Glauben
Wenn Sie eine Schwachstelle in gutem Glauben, im Geltungsbereich dieser Richtlinie und ohne Zugriff auf Daten, deren Änderung oder Entwendung über das zum Nachweis des Problems Nötige hinaus finden und melden, werden wir wegen dieser Recherche keine rechtlichen Schritte gegen Sie einleiten.
Derzeit kein Bug-Bounty
Wir betreiben derzeit kein bezahltes Bug-Bounty-Programm. Wir versprechen keine Belohnung, zu der wir uns nicht verpflichten können, aber wir sagen zu, das, was Sie uns senden, zu lesen und darauf zu reagieren.
Außerhalb des Geltungsbereichs
Bitte unterlassen Sie im Rahmen einer Meldung Folgendes.
- Social Engineering gegen unsere Mitarbeitenden, Auftragnehmer oder Kunden
- Physische Versuche, Zugang zu unseren Büros oder unserer Infrastruktur zu erlangen
- Denial-of-Service-Tests oder alles, was den Dienst für echte Antragstellende beeinträchtigt
- Automatisiertes Scannen in einem Umfang, der andere Nutzer beeinträchtigen könnte, ohne uns vorher zu fragen
- Zugriff auf Daten anderer Personen, deren Änderung oder Löschung über das hinaus, was zum Nachweis eines Problems nötig ist
- Spam, Phishing oder jeder Versuch, das Urteilsvermögen unserer Mitarbeitenden statt des Systems zu testen
Safe Harbour
Recherchen in gutem Glauben und im Rahmen dieser Richtlinie sind willkommen.
Wir betrachten Sicherheitsforschung, die gemäß dieser Richtlinie durchgeführt wird, als autorisiert und werden wegen dieser Recherche keine rechtlichen Schritte einleiten. Dies ist eine allgemeine Safe-Harbour-Formulierung und kein Ersatz für Rechtsberatung zu Ihrer konkreten Situation. Wenn Sie unsicher sind, ob etwas im Geltungsbereich liegt, fragen Sie uns, bevor Sie es testen.
Fragen
Klare Antworten zur Meldung einer Schwachstelle.
Bereit zu melden?
Email [email protected] with what you found.
Geben Sie Schritte zur Reproduktion an und worauf Sie zugreifen konnten. Den Rest übernehmen wir.