Responsible Disclosure Policy

Wir schätzen die Arbeit von Sicherheitsforschern. Wenn Sie eine Schwachstelle in unserer Plattform finden, melden Sie diese bitte über diesen Kanal — nicht öffentlich.

Scope

Im Geltungsbereich:

• dayporto.com und alle Subdomains (*.dayporto.com)
• Die mobile PWA
• Die OpenAPI-/REST-API unter /admin/api/*

Nicht im Geltungsbereich:

• Von uns genutzte Drittanbieterdienste (Mollie, Meta/WhatsApp, Moneybird)
• Angriffe auf Kundenumgebungen (z. B. deren eigene Subdomain) — bei diesem Kunden melden
• Social Engineering, physische Angriffe, DDoS
• Best-Practice-Befunde ohne tatsächliche Auswirkung (fehlender SPF-Eintrag, Self-XSS ohne Kontext usw.)

Safe harbor

Wenn Sie sich an diese Policy halten:

• unternehmen wir keine rechtlichen Schritte,
• unterstützen wir die Koordination mit betroffenen Dritten,
• nennen wir Sie (optional) in unserer Hall of Fame.

Im Gegenzug bitten wir Sie:

• keine Kundendaten exfiltrieren — stoppen Sie, sobald Sie bestätigten Zugriff haben;
• kein DoS/DDoS oder Brute-Force auf die Produktion;
• keine Exploits öffentlich teilen, bevor wir 90 Tage Zeit hatten;
• nur auf eigenen Konten oder speziell dafür bereitgestellten Testkonten testen.

Bug-Bounty

Für qualifizierte Meldungen zahlen wir eine Vergütung über unser Bug-Bounty-Programm bei Zerocopter / Intigriti. Beträge:

• Kritisch (RCE, Auth Bypass, mandantenübergreifender Datenzugriff): € 2.000 – 7.500
• Hoch (Privilege Escalation, Stored XSS mit Datenauswirkung): € 500 – 2.000
• Mittel (CSRF bei sensibler Aktion, IDOR ohne Bulk): € 100 – 500
• Niedrig (Info-Disclosure, Reflected XSS auf anonymer Seite): € 50 – 100

Beträge sind indikativ; der Schweregrad wird anhand von CVSS 3.1 und der tatsächlichen Auswirkung bestimmt. Duplikate und Out-of-Scope-Probleme kommen nicht in Betracht.

Response-SLA

• Bestätigung Ihrer Meldung: innerhalb von 3 Werktagen.
• Erste Triage und voraussichtliche nächste Schritte: innerhalb von 7 Werktagen.
• Coordinated Disclosure: nach Absprache, standardmäßig 90 Tage.

Kontakt

Eine Schwachstelle melden   security.txt

E-Mail: [email protected] (PGP-Schlüssel auf Anfrage).