Richtlinie zur Offenlegung von Schwachstellen

Händler verlassen sich darauf, dass PapelShip ihre Zahlungen abwickelt und qPapel ihre Software schützt. Wir begrüßen Meldungen von Sicherheitsforschern, die Sicherheitslücken finden und uns bei deren Behebung unterstützen möchten.

Im Geltungsbereich

• papelship.com und das PapelShip-Dashboard.
• Gehosteter Checkout und Shops unter mypapel.com.
• Die PapelShip-API, Webhooks und die Authentifizierungsserver von qPapel.
• Die qPapel-SDKs für C++ und C#.

Außerhalb des Geltungsbereichs

• Denial-of-Service-Angriffe, Lasttests oder Versuche, die Verfügbarkeit zu beeinträchtigen.
• Social Engineering, Phishing oder physische Angriffe auf Mitarbeiter oder Büros.
• Inhalte, Code oder Konfigurationen, die von einzelnen Händlern kontrolliert werden.
• Von uns genutzte Dienste Dritter; diese sind an deren Betreiber zu melden.
• Befunde ohne nachgewiesene Auswirkung auf die Sicherheit, etwa fehlende Header auf statischen Seiten.

Senden Sie eine E-Mail mit dem Betreff „Security report“ an [email protected]. Bitte geben Sie Folgendes an:

• Eine Beschreibung des Problems und seiner möglichen Auswirkungen.
• Die betroffene URL, den Endpunkt, die SDK-Version oder die Komponente.
• Schritte zur Reproduktion und, wenn möglich, einen Proof of Concept.
• Ob und wie Sie namentlich genannt werden möchten.

• Testen Sie ausschließlich mit Konten und Shops, die Ihnen gehören, oder mit ausdrücklicher Erlaubnis.
• Greifen Sie nicht auf Daten anderer Nutzer zu und verändern oder löschen Sie diese nicht; brechen Sie ab und melden Sie den Fund, sobald Sie auf solche Daten stoßen.
• Nutzen Sie einen Fund nicht, um den qPapel-Schutz anderer Händler zu umgehen oder sich Lizenzen zu verschaffen.
• Führen Sie keine automatisierten Scans durch, die hohen Datenverkehr erzeugen.
• Behandeln Sie die Details vertraulich, bis wir die Behebung bestätigt haben.

Wenn Sie diese Richtlinie einhalten, in gutem Glauben handeln und uns angemessen Zeit für eine Reaktion einräumen, werden wir wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie einleiten und mit Ihnen zusammenarbeiten, um das Problem nachzuvollziehen und zu beheben.

Wir bestätigen den Eingang Ihrer Meldung, halten Sie während unserer Untersuchung auf dem Laufenden und informieren Sie, sobald das Problem behoben ist. Ein vergütetes Bug-Bounty-Programm bieten wir derzeit nicht an.