Richtlinie zur Meldung von Schwachstellen

Wir freuen uns über Meldungen von Sicherheitsforschenden, Kunden und allen anderen, die eine Schwachstelle in einem Dienst von Syott finden. Diese Richtlinie erklärt, wie Sie eine Schwachstelle an die Syott Limited („Syott“) melden, was in den Geltungsbereich fällt und was Sie von uns erwarten können. Sie folgt den Grundsätzen unserer Richtlinie zur verantwortungsvollen Offenlegung.

So melden Sie eine Schwachstelle

Schreiben Sie an security@syott.co. Wir bevorzugen Meldungen auf Englisch. Bitte geben Sie an:

• worin die Schwachstelle besteht und was ein Angreifer damit tun könnte;
• wo sie sich befindet: die betroffene URL, der Endpunkt oder die Komponente;
• eine Schritt-für-Schritt-Anleitung zur Reproduktion, gegebenenfalls mit Proof-of-Concept-Code oder Screenshots;
• wann Sie getestet haben und von welchen IP-Adressen aus; und
• ob Sie öffentlich genannt werden möchten und, falls ja, unter welchem Namen.

Sie müssen uns Ihren echten Namen nicht nennen. Wenn Sie auf personenbezogene Daten gestoßen sind, geben Sie nur so viel davon an, wie zum Nachweis des Problems nötig ist.

Im Geltungsbereich

• syott.co und die von Syott betriebenen Subdomains von syott.co; und
• die Webanwendungen und APIs von Syott HR, Syott Recruit und Syott Company OS. Testen Sie nur mit Konten, deren Nutzung Ihnen gestattet ist.

Nicht im Geltungsbereich

• Dienste, die von Dritten betrieben werden, auch wenn sie auf unseren Seiten erscheinen (etwa unsere Anbieter für Chat, Analyse oder Bot-Schutz); bitte melden Sie diese dem jeweiligen Anbieter;
• Denial-of-Service-Angriffe und Tests, die auf hohem Datenverkehr beruhen;
• Social Engineering, Phishing und physische Angriffe auf Syott, unsere Mitarbeitenden oder unsere Kunden;
• Ergebnisse automatisierter Scanner ohne nachgewiesene, ausnutzbare Auswirkung;
• fehlende Sicherheits-Header, Cookie-Attribute oder E-Mail-Authentifizierungseinträge ohne nachgewiesene Auswirkung;
• Self-XSS, Clickjacking auf Seiten ohne sensible Aktionen und andere Probleme, die eine unwahrscheinliche Nutzerinteraktion erfordern; und
• Probleme, die nur veraltete oder nicht unterstützte Browser betreffen.

Regeln für Tests

Damit Sie unter unseren Safe Harbor fallen:

• verwenden Sie nur Konten und Daten, die Ihnen gehören oder deren Nutzung Ihnen gestattet ist;
• wenn Sie auf Daten anderer Personen stoßen, hören Sie auf, kopieren oder speichern Sie die Daten nicht und informieren Sie uns;
• ändern oder löschen Sie keine Daten und beeinträchtigen Sie unsere Dienste nicht für andere;
• setzen Sie automatisierte Tools nicht in einem Umfang ein, der die Verfügbarkeit beeinträchtigen könnte;
• geben Sie uns angemessene Zeit, das Problem zu beheben, bevor Sie es offenlegen, wie in unserer Richtlinie zur verantwortungsvollen Offenlegung beschrieben; und
• halten Sie sich an geltendes Recht.

Was Sie von uns erwarten können

• Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
• Wir teilen Ihnen mit, ob wir das Problem reproduzieren können und wie schwerwiegend wir es einschätzen.
• Wir halten Sie auf dem Laufenden und informieren Sie, wenn das Problem behoben ist.
• Wir nennen Sie öffentlich, wenn Sie dies wünschen.
• Wir leiten keine rechtlichen Schritte gegen Sie ein, wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie forschen.

Prämien

Derzeit betreiben wir kein bezahltes Bug-Bounty-Programm. Sollte sich das ändern, aktualisieren wir diese Seite.

Kontakt

security@syott.co. Unsere Sicherheitskontaktdaten sind auch unter /.well-known/security.txt veröffentlicht.