Sicherheitsrichtlinie und Meldung von Schwachstellen

Sende deinen Bericht per E-Mail. Verschlüssele ihn mit unserem öffentlichen PGP-Schlüssel, sobald er technische Details oder einen Proof of Concept enthält.

Kontakt

[email protected]

Öffentlicher PGP-Schlüssel

/.well-known/pgp-key.txt

Fingerabdruck

3C11 0D26 D95B A699 3DA0 FEF4 E8C7 6A2C 9D88 DB15

Schlüssel-ID

E8C76A2C9D88DB15

Algorithmus

RSA 4096

Gültigkeit

2026-10-07 → 2028-10-06

security.txt

/.well-known/security.txt (RFC 9116, signiert)

Importiere den Schlüssel, prüfe, ob der von deinem Programm angezeigte Fingerabdruck mit dem auf dieser Seite übereinstimmt, und verschlüssele deinen Bericht dann für den unten genannten Empfänger. Vertraue keinem Schlüssel mit abweichendem Fingerabdruck.

curl -O https://dqmj1.wiki/.well-known/pgp-key.txt
gpg --import pgp-key.txt
gpg --fingerprint [email protected]
gpg --armor --encrypt --recipient [email protected] report.txt

Füge die entstandene Datei report.txt.asc deiner Nachricht bei oder kopiere sie hinein und gib deinen eigenen öffentlichen Schlüssel an, damit wir verschlüsselt antworten können. Wir antworten von derselben Adresse.

• Die betroffene URL, der Endpunkt oder die Komponente.
• Eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen.
• Klare Schritte zur Reproduktion mit einem minimalen Proof of Concept.
• Dein Name oder Pseudonym, falls du genannt werden möchtest (optional).

Im Geltungsbereich

• Die Website dqmj1.wiki und die Subdomains, die wir betreiben.
• Die öffentliche REST-API unter /api/v1 und die einbettbaren Widgets unter /embed.
• Der Open-Source-Code, den dieses Projekt auf GitHub veröffentlicht.

Außerhalb des Geltungsbereichs

• Denial-of-Service, Last- oder Stresstests und automatisierte Scans in großem Umfang.
• Social Engineering, Phishing und physische Angriffe.
• Schwachstellen in Diensten Dritter, auf die wir uns stützen (Cloudflare, Resend, Google, GitHub): melde sie dem jeweiligen Anbieter.
• Fehlende Best-Practice-Header oder -Einstellungen ohne nachgewiesene Sicherheitsauswirkung.
• Nicht validierte Ergebnisse automatischer Scanner.

Urheberrechts- oder Markenfragen sind keine Sicherheitsthemen: schreibe stattdessen an [email protected].

• Wir bestätigen den Eingang deines Berichts innerhalb von 5 Werktagen.
• Wir geben dir innerhalb von 10 Werktagen eine erste Einschätzung und halten dich über den Fortschritt auf dem Laufenden.
• Wir beheben bestätigte Schwachstellen so schnell, wie es ihr Schweregrad erfordert.
• Wir bitten um koordinierte Offenlegung: Bitte warte bis zu 90 Tage nach deinem Bericht oder bis zur Veröffentlichung einer Korrektur, bevor du etwas öffentlich machst.
• Wir nennen dich in den Danksagungen unten, es sei denn, du bleibst lieber anonym.

Wir betrachten Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt wird, als autorisiert und werden gegen Forschende nicht rechtlich vorgehen, die:

• sich nach Kräften bemühen, Verletzungen der Privatsphäre, Datenzerstörung und Dienstunterbrechungen zu vermeiden;
• die Tests abbrechen und sofort melden, wenn sie auf nicht öffentliche Daten stoßen;
• eine Schwachstelle nicht über das zur Demonstration Nötige hinaus ausnutzen;
• die Einzelheiten vertraulich behandeln, bis eine Korrektur veröffentlicht ist oder die Offenlegungsfrist endet.

Diese Richtlinie erlaubt keine Tests von Diensten Dritter und stellt keinen Verzicht auf die Rechte dieser Dritten dar.

Dies ist ein kostenloses, nichtkommerzielles Projekt: Wir betreiben kein Bug-Bounty-Programm. Gültige Meldungen werden mit deiner Zustimmung öffentlich genannt.

Die Website hat keine Benutzerkonten, keine Anmeldung und kein Formular, das personenbezogene Daten speichert. Die REST-API ist öffentlich und schreibgeschützt. Die Seite wird über Cloudflare per HTTPS ausgeliefert und lässt sich außerhalb der /embed-Widgets nicht in Frames einbetten.

Bisher ist keine Meldung über eine Schwachstelle eingegangen. Danke an alle, die dazu beitragen, dieses Projekt sicher zu halten.