1. So melden Sie
E-Mail an security@audact.ai. Wenn Sie verschlüsseln möchten, fragen Sie in der ersten Nachricht nach unserem öffentlichen PGP-Schlüssel; wir senden ihn Ihnen. Der Sicherheitskontakt selbst ist unter /.well-known/security.txt nach RFC 9116 veröffentlicht.
- Einen reproduzierbaren Proof of Concept oder klare Schritte zur Reproduktion.
- Die betroffene Version, den Endpunkt oder die URL.
- Welche Auswirkung Sie annehmen und wie Sie ungefähr dorthin gelangt sind.
- Kontaktdaten und ob Sie namentlich genannt werden möchten, falls wir eine Würdigung veröffentlichen.
2. Was nach Ihrer Meldung geschieht
Das sind die Fristen, an die wir uns halten. Wenn wir eine davon reißen, hören Sie das von uns. Sie sollen es nicht durch Warten herausfinden.
- Binnen 48 Stunden. Wir bestätigen die Meldung und nennen Ihnen, wer sie bearbeitet.
- Binnen 5 Werktagen. Wir melden eine erste Einschätzung: ob wir reproduzieren konnten und wie wir die Schwere einstufen.
- Während der Behebung. Wir halten Sie in einem mit Ihnen abgestimmten Takt auf dem Laufenden, statt still zu werden.
- Richtwert 90 Tage, verhandelbar. Die Zeit, um die wir vor einer öffentlichen Offenlegung bitten. Dauert eine Behebung länger, sagen wir warum, statt die Frist stillschweigend verstreichen zu lassen.
3. Safe Harbour
Audact wird keine rechtlichen Schritte gegen Forschende einleiten, die in gutem Glauben handeln, Datenschutzverletzungen vermeiden, keine Kundendaten abziehen und uns eine angemessene Zeit zur Behebung vor der öffentlichen Offenlegung einräumen.
In gutem Glauben handeln heißt: aufhören, sobald Sie ein Problem bestätigt haben, statt tiefer zu gehen; den Dienst für andere nicht beeinträchtigen; und keine fremden Daten abrufen, verändern oder behalten. Wenn Sie unsicher sind, ob etwas im Rahmen liegt, fragen Sie vorher. Wir beantworten lieber eine Frage, als hinterher über eine Grenze zu streiten.
4. Würdigung
Ein monetäres Bug-Bounty-Programm gibt es heute nicht. Eine qualifizierende Meldung erhält mit Ihrer Einwilligung eine namentliche Würdigung in der Form, die Sie bevorzugen, und wir bestätigen den Fund schriftlich, wenn Sie etwas für ein Portfolio oder eine CVE-Anfrage brauchen.
Ändert sich das, wird es auf dieser Seite mit dem Datum des Inkrafttretens bekannt gegeben.
5. Kontakt
security@audact.ai für alles auf dieser Seite. Fragen zur Sicherheitsarchitektur, zur Subprozessor-Matrix oder zum Auftragsverarbeitungsvertrag beantwortet die Security-Seite; für die Beschaffung ist es das Trust Center.