Responsible Disclosure

Wir nehmen die Sicherheit von Breeze und den Daten unserer Nutzer ernst. Hast du eine Sicherheitslücke in unserer App, unserer Website oder einem unserer Systeme gefunden? Dann sag uns bitte Bescheid, damit wir sie beheben können. Wir möchten gemeinsam mit dir eine Lösung finden, bevor die Lücke öffentlich wird.

So meldest du eine Lücke

Schreib eine E-Mail an security@breeze.social mit:

• Was die Sicherheitslücke ist und wo du sie gefunden hast
• Den Schritten, um sie nachzuvollziehen, oder einem Proof of Concept
• Deinen Kontaktdaten, damit wir uns bei dir melden können

Wir lesen Meldungen auf Englisch und Niederländisch. Unsere Kontaktdaten stehen auch in unserer security.txt.

Worum wir dich bitten

• Nutze die Lücke nicht weiter aus, als nötig ist, um sie nachzuweisen. Lade keine Daten herunter, die dir nicht gehören, ändere oder lösche sie nicht, und hör auf, sobald du auf personenbezogene Daten anderer stößt.
• Teile die Lücke mit niemandem, bis wir sie behoben haben.
• Verzichte auf Social Engineering, physische Angriffe, Denial-of-Service, Spam und automatisierte Scans, die unseren Dienst beeinträchtigen.
• Platziere keine Backdoors oder Malware und verändere nichts an unseren Systemen.

Was wir versprechen

• Wir bestätigen den Eingang innerhalb von zwei Werktagen und teilen dir danach unsere Einschätzung und einen voraussichtlichen Zeitplan mit.
• Wir halten dich über den Fortschritt auf dem Laufenden.
• Wir beheben Sicherheitslücken so schnell, wie es ihr Schweregrad erfordert. Gemeinsam mit dir vereinbaren wir, wann die Lücke veröffentlicht werden darf, spätestens 90 Tage nach deiner Meldung, sofern wir nichts anderes vereinbaren.
• Wir gehen nicht rechtlich gegen dich vor, wenn du in gutem Glauben meldest und dich an die obigen Regeln hältst.
• Wir behandeln deine Meldung vertraulich und geben deine Daten nicht ohne deine Zustimmung weiter.
• Wenn du möchtest, nennen wir dich als Finder, sobald die Lücke behoben ist.

Wir haben kein formelles Bug-Bounty-Programm mit festen Prämien. Für eine Meldung, die uns hilft, ein echtes Problem zu beheben, können wir nach eigenem Ermessen eine Belohnung zahlen, abhängig von Schweregrad und Qualität der Meldung.

Nicht im Umfang

• Ergebnisse automatisierter Scanner ohne nachgewiesene Auswirkung
• Fehlende Security-Header, Cookie-Flags oder SPF/DKIM/DMARC-Einträge ohne nachgewiesene Auswirkung
• Clickjacking auf Seiten ohne sensible Aktionen
• Sicherheitslücken in Diensten Dritter, die wir nutzen; bitte melde diese dem jeweiligen Anbieter