Programm zur Offenlegung von Schwachstellen

Was in den Geltungsbereich fällt

Bitte testen Sie nur Folgendes:

• Unsere Website unter talismanleads.io und ihre Subdomains, einschließlich der Seiten für Anmeldung, Konto, Abrechnung und kostenlose Tools.
• Unser Telegram-Bot, @TalismanLeadsV1bot.
• Die eigenen APIs der Website, wenn Sie über Ihr eigenes Konto darauf zugreifen.

Wenn Sie nicht sicher sind, ob etwas zu uns gehört, fragen Sie uns, bevor Sie es testen.

Was nicht in den Geltungsbereich fällt

Bitte senden Sie uns keine Berichte zu Folgendem:

• Dienste anderer Unternehmen, etwa Telegram, Cloudflare, Zahlungsnetzwerke und das Live-Chat-Widget. Bitte melden Sie solche Probleme den jeweiligen Betreibern.
• Konten und Daten anderer Kunden.
• Das, wofür unsere Prüfungen und kostenlosen Tools gedacht sind, etwa die Aussage, ob zu einer Nummer oder E-Mail-Adresse ein Konto existiert.
• Ob eine E-Mail-Adresse oder ein Benutzername bei uns bereits registriert ist, auf den Seiten für Registrierung, Anmeldung oder Zurücksetzen des Passworts.
• Fehlende oder schwache E-Mail-Records (SPF, DKIM, DMARC, BIMI), DNSSEC- oder CAA-Records sowie Lookalike-Domains.
• Fehlende Sicherheits-Header (CSP, HSTS, X-Frame-Options und Ähnliches), Cookie-Flags und SSL/TLS-Einstellungen wie die Cipher-Auswahl, es sei denn, Sie weisen einen funktionierenden Angriff nach.
• Softwarenamen und Versionsnummern, Server-Banner und öffentliche Dateien wie robots.txt, die Sitemap oder security.txt.
• Schlüssel, die öffentlich sein sollen, etwa die CAPTCHA-, Analytics- und Browser-Client-Schlüssel im Quelltext einer Seite.
• Self-XSS, Clickjacking oder CSRF auf Seiten ohne sensible Aktion, Logout-CSRF, Open Redirects ohne weitere Auswirkung, Tabnabbing und Text-Injection, die kein Skript ausführt.
• Rate-Limits auf öffentlichen Seiten und Formularen, einschließlich des Überflutens mit E-Mails oder Registrierungen, es sei denn, sie ermöglichen es jemandem, ein Konto zu übernehmen oder Geld auszugeben.
• Passwortregeln, Sitzungsdauer und dass die Zwei-Faktor-Authentifizierung optional ist oder fehlt.
• Angriffe, die physischen Zugriff, ein gerootetes oder gejailbreaktes Gerät, einen veralteten Browser oder ein bereits kompromittiertes Opfer voraussetzen.
• Phishing, Social Engineering und Denial of Service.
• Passwörter und andere Daten aus Datenlecks anderer Websites, es sei denn, sie funktionieren bei uns.
• Ergebnisse automatisierter Scanner oder KI-Tools ohne funktionierenden Nachweis sowie Best-Practice-Empfehlungen ohne Auswirkung auf die Sicherheit.
• Fehler ohne Auswirkung auf die Sicherheit sowie Fragen zu Ihrem Konto oder Ihrer Abrechnung. Bitte nutzen Sie dafür die Kontaktseite.

Berichte zu diesen Punkten schließen wir möglicherweise ohne Antwort.

So testen Sie sicher

• Verwenden Sie nur Konten, die Sie selbst erstellt haben, und nur Nummern und E-Mail-Adressen, die Ihnen gehören oder die Sie verwenden dürfen.
• Lesen, ändern oder löschen Sie keine Daten, die nicht Ihnen gehören. Wenn Sie auf Daten anderer stoßen, brechen Sie ab, behalten Sie keine Kopie und informieren Sie uns.
• Führen Sie keine Denial-of-Service-Tests durch, überfluten Sie keine Formulare, versenden Sie keinen Spam und verlangsamen Sie den Dienst nicht für andere.
• Versuchen Sie nicht, unsere Mitarbeitenden oder Kunden zu täuschen, und unternehmen Sie keine physischen Angriffe.
• Wenn Ihnen ein Problem Guthaben oder kostenpflichtige Dienste verschafft, nutzen Sie nur so viel, wie Sie zum Nachweis benötigen, und informieren Sie uns, damit wir es rückgängig machen können.
• Behandeln Sie das Problem vertraulich, bis es behoben ist und wir uns über die Offenlegung geeinigt haben.

Was Ihr Bericht enthalten sollte

• Worin das Problem besteht und was ein Angreifer damit tun könnte.
• Die betroffene Seite, API-Route oder den betroffenen Bot-Befehl.
• Die Schritte zur Reproduktion, mit Screenshots oder einem Proof of Concept.
• Wie wir Sie erreichen können und unter welchem Namen Sie gegebenenfalls genannt werden möchten.

Bitte lassen Sie personenbezogene Daten anderer aus Ihrem Bericht heraus.

Was Sie von uns erwarten können

• Wir bestätigen den Eingang von Berichten, die in den Geltungsbereich fallen, innerhalb von 5 Werktagen.
• Wir prüfen das Problem und teilen Ihnen mit, ob wir es reproduzieren können und wie es weitergeht.
• Wir halten Sie während der Bearbeitung auf dem Laufenden und informieren Sie, wenn es behoben ist.
• Auf Wunsch nennen wir Ihren Namen, wenn wir über die Behebung schreiben.

Rechtliche Zusicherung (Safe Harbor)

Wenn Sie in gutem Glauben handeln und diese Richtlinie einhalten, betrachten wir Ihre Untersuchungen als autorisiert. Wir werden deswegen weder rechtliche Schritte gegen Sie einleiten noch Sie den Behörden melden. Wenn ein Dritter deswegen gegen Sie vorgeht, werden wir klarstellen, dass Sie im Rahmen dieser Richtlinie gehandelt haben.

Dies gilt nur für die eigenen Systeme von TalismanLeads. Tests an den Systemen anderer können wir nicht autorisieren. Wenn Sie unsicher sind, ob etwas erlaubt ist, fragen Sie uns zuerst.

Veröffentlichung

Bitte geben Sie uns angemessen Zeit, ein Problem zu beheben, bevor Sie etwas darüber veröffentlichen. Wir streben an, bestätigte Probleme innerhalb von 90 Tagen zu beheben, und vereinbaren mit Ihnen einen Termin. Manche Probleme dauern länger; wir sagen Ihnen Bescheid, wenn das bei Ihrem der Fall ist.

Belohnungen

Dies ist ein Programm zur Offenlegung, kein Bug-Bounty-Programm, daher zahlen wir nicht für Berichte. Wir sind Ihnen für Ihre Hilfe dankbar und nennen Sie dafür gerne namentlich. Berichte, die vor der Weitergabe der Details eine Bezahlung verlangen, schließen wir ohne Antwort.

Sobald das Problem behoben ist, nennen wir Sie möglicherweise auch in unserer Hall of Fame, zusammen mit dem, was Sie gefunden haben. Wir nennen Sie nur mit Ihrer Erlaubnis, und Sie können jederzeit verlangen, dass wir Ihren Eintrag entfernen.