Richtlinie zur Meldung von Sicherheitslücken

Eine Sicherheitslücke melden

Schreiben Sie an security@getaff.org. Beschreiben Sie das Problem, die Schritte zur Reproduktion, die geschätzte Auswirkung und, wenn möglich, einen Proof of Concept. Sie können uns auf Deutsch, Englisch, Französisch oder Spanisch schreiben.

Fügen Sie Ihrer Nachricht keine personenbezogenen Daten Dritter bei, die Sie gesehen haben könnten: Beschreiben Sie sie stattdessen.

Geltungsbereich

Abgedeckt sind die Website www.getaff.org, die öffentliche API (/api/v1) und der MCP-Server (/api/mcp) sowie die Authentifizierungs-Endpunkte, die sie bedienen (OAuth, API-Schlüssel).

Nicht abgedeckt sind Dienste Dritter, die wir nutzen (Stripe, Google Cloud, Cloudflare…) – melden Sie diese dem jeweiligen Anbieter –, Denial-of-Service-Angriffe, Social Engineering gegenüber unserem Team oder unseren Nutzern sowie Berichte automatischer Scanner ohne nachgewiesene Auswirkung.

Testregeln

Testen Sie nur mit eigenen Konten. Greifen Sie nicht auf Daten anderer Nutzer zu, ändern oder löschen Sie sie nicht: Hören Sie auf, sobald die Lücke nachgewiesen ist. Beeinträchtigen Sie den Dienst nicht und senden Sie keine Anfragemengen, die ihn stören könnten.

Geben Sie uns Zeit für eine Behebung vor jeder Veröffentlichung; wir vereinbaren mit Ihnen einen Termin.

Safe Harbour

Wenn Sie diese Richtlinie einhalten, betrachten wir Ihre Forschung als autorisiert: Wir werden deswegen keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, und sollte ein Dritter dies tun, werden wir erklären, dass Sie im Einklang mit dieser Richtlinie gehandelt haben.

Wozu wir uns verpflichten

Den Eingang Ihrer Meldung innerhalb von 5 Werktagen zu bestätigen, Sie über die Bearbeitung auf dem Laufenden zu halten und Sie nach der Behebung auf Wunsch öffentlich zu nennen. Wir bieten keine finanzielle Belohnung an.