Sicherheitslücke gefunden?

Schön, dass Sie mitschauen. Erst die Spielregeln, dann wissen Sie gleich, woran Sie sind.

Keine Belohnung

Wir haben kein Bug-Bounty-Programm und zahlen nicht für Meldungen. Es gibt auch keine Belohnung, keine Werbegeschenke und keinen Eintrag in einer Hall of Fame. Unaufgeforderte Audits oder Pentests kaufen wir nicht. Mails, die für einen Fund eine Belohnung oder ein bezahltes Audit verlangen, beantworten wir nicht.

So melden Sie es

Schreiben Sie an info@brewersync.com mit dem Betreff "Sicherheitsmeldung". Beschreiben Sie die Schritte zum Nachvollziehen, die betroffene Adresse und was ein Angreifer damit tun kann. Ohne wiederholbare Schritte und eine klare Auswirkung ist es keine Meldung. Niederländisch, Englisch oder Deutsch ist in Ordnung.

Regeln für Tests

Tests ohne unsere schriftliche Erlaubnis sind nicht gestattet. Das heißt: keine automatisierten Scanner auf der Produktivumgebung, kein Social Engineering, keine Denial-of-Service-Angriffe und kein Zugriff auf Daten anderer. Machen Sie nichts öffentlich, bevor wir die Gelegenheit hatten, es zu beheben.

Was wir nicht bearbeiten

Berichte von Scannern oder Best-Practice-Listen ohne nachweisbare Auswirkung bearbeiten wir nicht, und wir antworten darauf auch nicht. Zum Beispiel fehlende Header, Hinweise zu SPF oder DMARC, Clickjacking auf Seiten ohne sensible Aktionen, Versionsinformationen und Limits bei Formularen ohne echte Folgen.

Was wir mit einer echten Meldung tun

Eine echte Meldung in gutem Glauben bekommt unsere Aufmerksamkeit, und wir unternehmen etwas. Wir ergreifen keine rechtlichen Schritte gegen Sie wegen einer Meldung in gutem Glauben, bei der Sie diese Regeln einhalten.

Unsere Kontaktdaten stehen auch in security.txt.