Bug-Bounty
Finden Sie ein Loch in unserem Zaun. Wir danken Ihnen, und wir zahlen.
Kein System ist perfekt, auch unseres nicht. Wenn Sie eine Sicherheitslücke auf unserer Website oder in den Diensten finden, die wir betreiben, sagen Sie es uns, bevor es jemand anderes erfährt. Wir beheben sie schnell, halten Sie auf dem Laufenden und belohnen Funde, die sich als echt erweisen.
- Belohnungen für gültige Funde
- Keine rechtlichen Schritte bei Forschung in gutem Glauben
- Ihre Meldung bleibt vertraulich
- Meldungen auf Arabisch oder Englisch
Von Ihrer Meldung zu Ihrer Belohnung
Sie melden
Schreiben Sie an security (at) ultaria.com, was Sie gefunden haben
Wir bestätigen
Wir antworten möglichst innerhalb von drei Werktagen
Wir beheben
Und sagen Ihnen, wenn es erledigt ist
Sie werden belohnt
Nach Schweregrad, sobald der Fund bestätigt ist
Spielregeln, für beide Seiten
Verantwortungsvolle Offenlegung funktioniert, wenn beide Seiten Wort halten. Hier ist unseres, und das bitten wir Sie.
Sagen Sie es uns zuerst, und zwar bald
Melden Sie eine vermutete Schwachstelle, sobald Sie sie finden. Je früher wir davon wissen, desto früher ist sie geschlossen.
Geben Sie uns Zeit zur Behebung
Behalten Sie die Details für sich, bis wir die Behebung bestätigen. Bitte teilen Sie sie bis dahin weder öffentlich noch mit anderen.
Nutzen Sie Ihre eigenen Konten
Testen Sie nur mit Konten und Daten, die Ihnen gehören. Lesen, ändern oder löschen Sie nichts, was jemand anderem gehört.
Keine Täuschung
Geben Sie sich nicht als unsere Mitarbeitenden, als Kunde oder als anderer Forscher aus, und versuchen Sie nicht, unser Team zu täuschen. Social Engineering ist nicht Teil dieses Programms.
Wir gehen nicht gegen Sie vor
Wenn Sie diese Regeln befolgen und in gutem Glauben handeln, ergreifen wir wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie.
Es bleibt unter uns
Ihre Meldung ist vertraulich. Wir geben Ihre persönlichen Daten ohne Ihre Zustimmung an niemanden weiter, es sei denn, das Gesetz verlangt es.
Was eine Belohnung bringt
Eine Meldung kommt infrage, wenn:
- Sie die Schwachstelle als Erste oder Erster melden.
- Sie einen funktionierenden Proof of Concept oder klare Schritte zum Nachstellen beifügen.
- sie ein System im Geltungsbereich betrifft: ultaria.com, seine Subdomains oder einen Dienst, den wir selbst betreiben.
- Sie beim Finden die Regeln auf dieser Seite befolgt haben.
- sie nicht veröffentlicht wurde, bevor wir sie behoben haben.
- wir Sie dort, wo Sie leben, rechtlich bezahlen dürfen.
Belohnungen, die sich am Risiko orientieren
Belohnungen zahlen wir als Geld oder als Guthaben für Ultaria-Leistungen, ganz wie Sie möchten. Sobald unsere Experten den Fund bestätigt haben, schlagen wir einen Betrag vor, der sich danach richtet, wie schwer er wiegt. Halten Sie ihn nicht für fair, bewertet ihn eine unabhängige dritte Partei, auf die wir uns gemeinsam einigen.
Der Schweregrad bestimmt die Belohnung
Eine Schwachstelle, die Kundendaten offenlegt oder die Kontrolle über ein System ermöglicht, bringt mehr als eine mit begrenzter Wirkung.
Anerkennung, wo sie verdient ist
Mit Ihrer Erlaubnis danken wir Ihnen namentlich auf dieser Seite, sobald die Behebung live ist.
Eine Belohnung pro Schwachstelle
Melden mehrere Personen dieselbe Schwachstelle, wird die erste vollständige Meldung belohnt.
Eine zweite Meinung zum Betrag
Nicht zufrieden mit dem Betrag? Wir einigen uns mit Ihnen auf einen unabhängigen Sicherheitsexperten, der den Fund prüft und eine faire Belohnung empfiehlt. Wir zahlen, was er empfiehlt.
Nicht im Geltungsbereich
Für Folgendes zahlen wir keine Belohnung, und auf Meldungen dazu antworten wir möglicherweise nicht.
Angriffe auf Menschen und Räumlichkeiten
Social Engineering und Phishing sowie physische Angriffe auf Büros, Rechenzentren oder Geräte.
Alles, was den Betrieb stört
Denial-of-Service-Angriffe, Brute-Force-Angriffe jeder Art und das Auslesen von Benutzernamen per Brute Force.
Scanner-Ausgaben
Berichte automatisierter Tools ohne nachgewiesenen, funktionierenden Exploit.
Software und Systeme anderer
Fehler in Software von Drittanbietern oder in Open-Source-Software, einschließlich WordPress und seiner Plugins, sowie Manipulationen an dem, was an Zahlungsdienstleister gesendet wird. Melden Sie diese an die jeweiligen Verantwortlichen. Das tun wir auch. Open Source
Websites unserer Kunden
Websites, Server und Anwendungen, die Kunden auf unserer Plattform betreiben. Sie gehören dem Kunden, und wer sie testen will, braucht seine Erlaubnis.
Nur Header und Einstellungen
Fehlende Security-Header oder Cookie-Flags, Clickjacking, SPF-, DKIM-, DMARC- oder SSL-Einstellungen, Versionsnummern, Verzeichnislisten und Server-IP-Adressen, sofern sie nicht direkt zu einer Schwachstelle führen.
Web-Probleme mit geringer Wirkung
Self-XSS, CSRF ohne echte Auswirkung, offene Weiterleitungen, Textinjektion auf Fehlerseiten, Homograph-Angriffe, Cache-Probleme und Browserfehler.
Kontoverwaltung
Passwortregeln, Sitzungsdauer, Stärke von CAPTCHAs, fehlende Rate Limits, Wiederverwendung von Einmalcodes und alles, was Zugriff auf das Gerät des Opfers erfordert.
Schreiben Sie eine Meldung, mit der wir arbeiten können
- 1
Sagen Sie, was Sie gefunden haben
Die betroffene Adresse oder das betroffene System und die Art der Schwachstelle.
- 2
Zeigen Sie, wie
Schritte, die wir nachvollziehen können, oder einen Proof of Concept. Screenshots oder ein kurzes Video helfen.
- 3
Sagen Sie, was damit möglich wäre
Was ein Angreifer erreichen oder verändern könnte.
- 4
Sagen Sie uns, wie wir Sie erreichen
Und unter welchem Namen wir Ihnen danken sollen, falls gewünscht.
Hier geht Ihre Meldung hin
Sie geht direkt an unser Sicherheitsteam. Sie möchten Screenshots oder ein Video teilen? Schicken Sie zuerst die Meldung, und wir antworten mit einem sicheren Weg, sie zu teilen.
Was Sicherheitsforscher fragen
Wie viel zahlen Sie?
Das hängt vom Schweregrad ab, deshalb veröffentlichen wir keine Tabelle. Den Betrag erfahren Sie, nachdem unsere Experten den Fund bestätigt haben. Sind Sie anderer Meinung, prüft eine unabhängige dritte Partei, auf die wir uns gemeinsam einigen, den Fall und legt einen fairen Betrag fest.
Wer ist die unabhängige dritte Partei?
Eine Sicherheitsfachkraft oder eine Firma, für die keiner von uns beiden arbeitet, für jeden Fall gemeinsam ausgewählt. Sie sieht die Meldung und unsere Einschätzung und empfiehlt die Belohnung.
Wie schnell antworten Sie?
Wir bestätigen den Eingang Ihrer Meldung möglichst innerhalb von drei Werktagen und halten Sie auf dem Laufenden, bis die Behebung live ist.
Darf ich meine Funde veröffentlichen?
Ja, nachdem wir die Behebung bestätigt haben. Zeitpunkt und Formulierung stimmen wir gern mit Ihnen ab.
Ich bin Kunde. Kann ich auch etwas melden?
Ja. Es gelten dieselben Regeln und Belohnungen, und eine gemeldete Schwachstelle wird Ihrem Konto niemals zum Nachteil.
Was, wenn ich nicht sicher bin, ob es eine echte Schwachstelle ist?
Schicken Sie sie trotzdem, mit dem, was Sie beobachtet haben. Wir lesen lieber zehn Meldungen, die sich als nichts herausstellen, als die eine zu verpassen, die zählt.
Bug-Bounty
Etwas gefunden? Sagen Sie es uns zuerst.
Schreiben Sie an security (at) ultaria.com, auf Arabisch oder Englisch. Wir lesen jede Meldung.