Sicherheitslücken melden

Wenn Sie eine Sicherheitslücke in Cord gefunden haben, möchten wir davon erfahren. Dies ist unser Programm zur verantwortungsvollen Offenlegung: wie Sie melden, was in den Geltungsbereich fällt und wozu wir uns verpflichten.

So melden Sie

Schreiben Sie an security@flouvia.com mit:

1. Was Sie gefunden haben und warum es wichtig ist (was jemand damit tun könnte).
2. Den genauen Schritten zur Reproduktion, mit den URLs, Anfragen oder dem Proof-of-Concept-Code.
3. Dem Konto oder der Umgebung, in der Sie getestet haben.

Verwenden Sie ein eigenes Konto und, wenn möglich, die Testumgebung (Schlüssel sk_test_ / pk_test_). Wenn Sie beim Testen auf Daten einer anderen Organisation stoßen, hören Sie auf, speichern oder teilen Sie sie nicht und teilen Sie uns mit, was Sie sehen konnten.

Derselbe Kontakt ist unter /.well-known/security.txt veröffentlicht.

Geltungsbereich

• cordhq.app, einschließlich der API unter cordhq.app/api und der Subdomains billing., docs. und dev..
• Die öffentlichen Oberflächen: der Angebotslink (/q), die gehostete Rechnung (/i) und der eingebettete Angebotsrechner (/embed).
• Die veröffentlichten Pakete: @flouviahq/elements, @flouviahq/node und @flouviahq/cli.

Außerhalb des Geltungsbereichs: Denial-of-Service- oder volumetrische Angriffe, Social Engineering gegen das Team oder die Kunden von Cord, physischer Zugang, Spam oder automatisierte Tests, die Last auf fremden Konten erzeugen, sowie Befunde ohne nachweisbare Auswirkung (zum Beispiel fehlende Header ohne Angriffsszenario).

Wozu wir uns verpflichten

• Den Eingang innerhalb von höchstens 3 Geschäftstagen zu bestätigen.
• Ihnen eine erste Einschätzung zu geben und Sie auf dem Laufenden zu halten, während wir die Lücke beheben.
• Ihnen mitzuteilen, wenn sie behoben ist, und mit Ihnen abzustimmen, wann sie veröffentlicht werden kann.
• Sie öffentlich zu nennen, wenn Sie das wünschen.

Sicherer Hafen

Wenn Sie in gutem Glauben innerhalb dieses Geltungsbereichs handeln, nicht auf mehr Daten zugreifen oder mehr Daten aufbewahren, als nötig ist, um die Lücke nachzuweisen, und uns vor der Veröffentlichung angemessen Zeit zur Behebung geben, werden wir wegen Ihrer Untersuchung keine rechtlichen Schritte gegen Sie einleiten.

Prämien

Derzeit zahlen wir keine finanziellen Prämien. Sollte sich das ändern, veröffentlichen wir es auf dieser Seite.