Ein Sicherheitsproblem melden

Was dazugehört

• app.hailmo.com
• hailmo.com
• Die Hailmo-Apps für Android und iPhone
• Die API dahinter

Was nicht dazugehört

• Denial of Service und Lasttests
• Spam
• Social Engineering oder Phishing gegen unser Team oder unsere Nutzer
• Physische Angriffe
• Angriffe auf Dienste, die wir nutzen, aber nicht betreiben (Google, Apple, Stripe, Firebase, unser Hosting)
• Meldungen automatischer Scanner ohne nachgewiesene Auswirkung
• Fehlende Best-Practice-Header ohne Angriffsmöglichkeit
• Self-XSS
• Clickjacking auf Seiten ohne sensible Aktion
• Probleme, die einen veralteten Browser oder ein gerootetes oder gejailbreaktes Gerät voraussetzen

Die Regeln

• Testen Sie nur mit Konten, die Ihnen gehören.
• Greifen Sie nie auf Daten anderer Personen zu, ändern oder löschen Sie sie nicht. Wenn Sie an fremde Daten gelangen, hören Sie auf und sagen Sie uns Bescheid.
• Beeinträchtigen Sie den Dienst für andere nicht.
• Geben Sie uns angemessen Zeit für die Behebung, bevor Sie veröffentlichen. Wir peilen höchstens 90 Tage an, früher, sobald es behoben ist.

Rechtsschutz

Forschung, die nach dieser Richtlinie in gutem Glauben erfolgt, ist erlaubt. Wir ergreifen deswegen keine rechtlichen Schritte gegen Sie und sagen das auch, wenn ein Dritter nachfragt.

So melden Sie

Schreiben Sie an security@hailmo.com und nennen Sie:

• Die Schritte, um das Problem nachzustellen
• Was ein Angreifer damit tun könnte
• Die betroffene Adresse oder App-Version

Bitte senden Sie keine personenbezogenen Daten anderer Menschen mit.

Was Sie erwarten können

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
• Wir geben Ihnen innerhalb von 10 Werktagen eine erste Einschätzung.
• Wir halten Sie auf dem Laufenden, bis es behoben ist, und nennen Sie auf Wunsch.

Belohnungen

Wir betreiben noch kein bezahltes Bug-Bounty-Programm. Für gültige, wichtige Meldungen schicken wir nach eigenem Ermessen eventuell ein Dankeschön.