Hast du eine Sicherheitslücke in Defendr gefunden? Danke, dass du sie uns meldest. Diese Richtlinie sagt dir, wie du das tust, was du dabei darfst und was du von uns erwarten kannst.
1. Was dazugehört
- die Discord-App Defendr (der Bot und seine Befehle, Knöpfe und Direktnachrichten);
- die Webseite defendr.live, der persönliche Bereich und die Server-Verwaltung unter app.defendr.live und die Statusseite status.defendr.live;
- das öffentliche Repository mit den Rechtstexten von Defendr.
Nicht dazu gehören: Discord selbst, Cloudflare, andere Dienste Dritter, Bedrohungslisten Dritter sowie Überlastung durch massenhafte Anfragen. Lücken in Diensten Dritter meldest du bitte dem jeweiligen Anbieter.
2. So meldest du
Schreib an security@defendr.live. Wenn du nicht per E-Mail schreiben möchtest, melde dich im Discord-Support-Server (https://discord.gg/vtPXf6t6jd) und bitte um einen privaten Kanal; nenne die Lücke dort nicht in einem öffentlichen Kanal. Beschreibe bitte, was betroffen ist, wie man die Lücke nachvollziehen kann und welche Folgen du beobachtet hast. Schick uns keine Zugangsdaten, Token oder Daten anderer Personen.
3. Was du darfst und was nicht
- Teste nur mit deinem eigenen Discord-Konto und auf Servern, die du selbst verwaltest oder für die du die Erlaubnis des Server-Inhabers hast.
- Greif nicht auf Daten anderer Personen zu, verändere oder lösche sie nicht. Siehst du versehentlich solche Daten, hör sofort auf, speichere sie nicht, gib sie nicht weiter und sag es uns in deiner Meldung.
- Keine Angriffe auf die Verfügbarkeit (keine Überlastung, kein massenhaftes Abfragen), kein Social Engineering gegen das Defendr-Team oder Nutzer, keine Spam- oder Phishing-Tests gegen echte Personen, keine physischen Angriffe.
- Nutze eine Lücke nur so weit, wie es nötig ist, um sie nachzuweisen, und behalte sie für dich, bis sie behoben ist oder wir eine Veröffentlichung vereinbart haben (Abschnitt 5).
4. Was du von uns erwarten kannst
- Wir bestätigen den Eingang deiner Meldung innerhalb von 72 Stunden.
- Wir prüfen die Meldung, halten dich über den Stand auf dem Laufenden und sagen dir, wenn die Lücke behoben ist.
- Bestätigte Lücken beheben wir so schnell wie möglich in einem Sicherheits-Update; der Changelog kennzeichnet es als solches.
- Wenn du einverstanden bist, danken wir dir nach der Behebung öffentlich mit Namen oder Pseudonym, zum Beispiel im Changelog des Sicherheits-Updates. Wir nennen dabei nur echte Meldungen.
- Eine Belohnung in Geld oder Sachwerten (Bug-Bounty) zahlen wir nicht.
5. Veröffentlichung
Wir veröffentlichen eine behobene Lücke gemeinsam mit dir. Bitte veröffentliche sie nicht vor der Behebung und nicht vor Ablauf von 90 Tagen nach deiner Meldung, außer wir vereinbaren etwas anderes. Ist die Lücke nach 90 Tagen noch nicht behoben, stimmen wir mit dir ab, wie es weitergeht.
6. Schutz für gutgläubige Forschung
Hältst du dich an diese Richtlinie, sehen wir deine Untersuchung als gutgläubig und erwünscht an. Wir werden deswegen keine Strafanzeige stellen, keinen Strafantrag stellen und keine zivilrechtlichen Ansprüche gegen dich geltend machen. Diese Zusage können wir nur für uns selbst geben, nicht für Discord, Cloudflare oder andere Dritte, und sie gilt nicht für Handlungen, die gegen Abschnitt 3 verstoßen. Bist du unsicher, ob etwas erlaubt ist, frag uns vorher.
7. Kontakt
Sicherheitslücken: security@defendr.live · Allgemein: contact@defendr.live · Maschinenlesbar: https://defendr.live/.well-known/security.txt