Responsible Disclosure

1. So meldest du

Schreib an development@luvarly.com. Beschreibe, was du gefunden hast, wo (die URL oder das System), die Schritte, um es nachzuvollziehen, und was ein Angreifer damit tun könnte. Screenshots oder ein kurzer Proof of Concept helfen. Deutsch, Englisch und Niederländisch sind alle in Ordnung.

Hinterlasse eine Möglichkeit, dich zu erreichen. Du kannst anonym oder unter einem Pseudonym melden, aber dann können wir dich nicht auf dem Laufenden halten.

2. Was dazugehört

luvarly.com und seine Subdomains, einschließlich der Dienste, die darauf laufen.

Websites und Software, die wir für Kunden bauen oder hosten, gehören diesen Kunden. Teste sie nicht ohne schriftliche Erlaubnis des Eigentümers. Stößt du zufällig auf ein Problem darin, melde es uns, und wir geben es an den Eigentümer weiter.

Nicht dazu gehören Meldungen automatischer Scanner ohne nachgewiesene Auswirkung, etwa nur fehlende Security-Header, Cookie-Attribute, TLS-Einstellungen oder E-Mail-Richtlinien (SPF, DKIM, DMARC). Melde sie trotzdem, wenn du zeigen kannst, wie sie sich ausnutzen lassen.

Du möchtest deine eigenen Systeme testen lassen? Genau das macht unser Sicherheitsangebot.

3. Worum wir dich bitten

Melde das Problem so schnell wie möglich und teile es mit niemandem, bis es behoben ist.

Tu nicht mehr als nötig, um das Problem zu zeigen. Sieh dir keine Daten an, die dir nicht gehören, und kopiere, ändere oder lösche sie nicht. Stößt du versehentlich auf personenbezogene Daten, hör auf, melde es und lösche, was du hast.

Nutze kein Denial of Service, Social Engineering, Phishing, keinen physischen Zugang, kein Spam und kein Brute Force, und platziere keine Backdoor oder Malware, auch nicht als Nachweis.

Halte automatische Scans so leicht, dass unsere Systeme und andere Nutzer nichts davon merken.

4. Was wir zusagen

Wir bestätigen deine Meldung innerhalb von drei Werktagen und geben dir innerhalb von zehn Werktagen unsere Einschätzung und ein voraussichtliches Datum für die Behebung. Wir halten dich auf dem Laufenden, bis das Problem gelöst ist, und wollen es innerhalb von 90 Tagen beheben.

Hältst du dich an diese Regeln, ergreifen wir keine rechtlichen Schritte gegen dich und erstatten wegen deiner Meldung keine Anzeige.

Wir behandeln deine Meldung vertraulich und geben deine Daten nicht ohne deine Zustimmung weiter, außer das Gesetz verlangt es. Wir nutzen sie nur, um deine Meldung zu bearbeiten. Deine Rechte daran stehen in unserer Datenschutzerklärung.

Liegt das Problem im System eines Kunden, teilen wir deine Meldung mit diesem Kunden, ohne deine Daten, außer du stimmst zu.

Wir haben kein bezahltes Bug-Bounty-Programm. Für eine schwerwiegende, gut dokumentierte Meldung können wir nach eigenem Ermessen ein kleines Dankeschön schicken.