Sicherheit & Meldung von Schwachstellen

Wir nehmen die Sicherheit von payed.me und der Daten unserer Nutzer ernst. Wenn Sie glauben, eine Schwachstelle gefunden zu haben, möchten wir davon erfahren.

So melden Sie eine Schwachstelle

Schreiben Sie an support@payed.me mit „Security“ im Betreff. Bitte geben Sie an:

• die betroffene URL oder Funktion;
• nachvollziehbare Schritte, um das Problem zu reproduzieren;
• was ein Angreifer tatsächlich erreichen könnte, mit Nachweis.

Wir bemühen uns, berechtigte Meldungen innerhalb von 5 Werktagen zu bestätigen, und halten Sie während der Behebung auf dem Laufenden.

Regeln für Forschung in gutem Glauben

• Testen Sie nur mit Konten, die Ihnen gehören oder für die Sie eine Erlaubnis haben.
• Greifen Sie nicht auf Daten anderer Nutzer zu und ändern oder löschen Sie diese nicht. Falls Sie versehentlich darauf stoßen, hören Sie auf und informieren Sie uns.
• Führen Sie keine Denial-of-Service-, Spam- oder Social-Engineering-Angriffe durch und testen Sie keine physische Sicherheit.
• Geben Sie uns angemessen Zeit, ein Problem zu beheben, bevor Sie es öffentlich machen.

Wenn Sie diese Regeln einhalten, werden wir wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie einleiten.

Bug-Bounty

Wir betreiben kein bezahltes Bug-Bounty-Programm und zahlen nicht für unaufgeforderte Meldungen.Wir sind dankbar für verantwortungsvolle Offenlegung. Zahlungsforderungen oder das Zurückhalten von Details bis zu einer Zahlungszusage ändern jedoch nichts daran, wie wir eine Meldung behandeln.

Nicht im Geltungsbereich

Folgendes betrachten wir für sich allein nicht als Schwachstelle:

• Meldungen automatisierter Scanner ohne nachgewiesene, ausnutzbare Auswirkung;
• Clickjacking auf Seiten ohne sensible Aktion oder fehlende Header, die nur Best Practice sind;
• E-Mail-Konfiguration (SPF, DKIM, DMARC) und E-Mail-Spoofing;
• Probleme, die ein kompromittiertes Gerät, physischen Zugriff oder einen veralteten Browser voraussetzen;
• Rate-Limiting oder Brute-Force auf Endpunkten außerhalb der Authentifizierung;
• Offenlegung von Softwareversionen oder aussagekräftige Fehlermeldungen;
• Schwachstellen in von uns genutzten Drittanbieterdiensten wie Stripe.