Sicherheit

Spontio ist ein privat betriebenes Projekt. Wenn du eine Sicherheitslücke in Spontio findest, sag uns bitte Bescheid. Wir beheben sie so schnell wie möglich und stimmen mit dir ab, wann sie veröffentlicht wird.

So meldest du eine Lücke

Schreib an security@spontio.app. Beschreib, was du gefunden hast, wie man es nachstellt und was ein Angreifer damit tun könnte. Deutsch oder Englisch, beides ist in Ordnung.

Was wir versprechen

Wir bestätigen deine Meldung innerhalb von 3 Werktagen. Wir beheben eine Lücke möglichst innerhalb von 90 Tagen, sofort, wenn sie schon ausgenutzt wird. Wir halten dich dabei auf dem Laufenden. Wann und wie die Lücke veröffentlicht wird, stimmen wir mit dir ab, und auf Wunsch danken wir dir hier namentlich.

Wenn du in guter Absicht testest, meldest und dich an die Regeln unten hältst, unternehmen wir keine rechtlichen Schritte gegen dich.

Regeln fürs Testen

Nutze nur deine eigenen Konten und Testdaten. Ruf keine Daten anderer Personen ab, ändere oder lösche sie nicht; stößt du zufällig darauf, hör auf und sag uns Bescheid. Belaste die Server nicht (kein Denial of Service, keine Massenanfragen). Kein Social Engineering, kein Phishing, keine physischen Angriffe. Veröffentliche nichts, bevor wir es abgesprochen haben.

Wofür das gilt

Die Website spontio.app, die Web-App web.spontio.app mit ihren Anmeldeseiten und ihrer Schnittstelle (API) sowie die Spontio-Apps für iOS und Android. Dienste anderer Anbieter, etwa PayPal oder unser E-Mail-Anbieter, gehören nicht dazu; melde Lücken dort bitte direkt.

Gut zu wissen

Es gibt kein Belohnungsprogramm (Bug Bounty). Fragen, die nichts mit Sicherheit zu tun haben, gehen an info@spontio.app.