Sicherheitslücke gefunden? Sag uns Bescheid.

Was zum Umfang gehört

Besonders interessieren uns Fehler, durch die jemand Daten einer anderen Person oder Organisation sehen oder ändern kann, Wege an der Anmeldung vorbei, das Auslesen von Schlüsseln und Fehler bei Rollen und Rechten (Admin, Manager, Verkauf).

Was nicht zum Umfang gehört

• Die Systeme unserer Dienstleister selbst (Vercel, Supabase, ElevenLabs, Anthropic). Melde Lücken dort bitte direkt beim Anbieter.
• Die Mac-App (Beta). Hinweise nehmen wir trotzdem gern an, sie sind nur nicht Teil dieser Regeln.
• Angriffe auf die Verfügbarkeit (Überlastung, Denial of Service) und automatisierte Massenanfragen.
• Social Engineering, Phishing und physische Angriffe gegen Menschen, die mit Alfreed arbeiten.
• Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung, fehlende Sicherheits-Header ohne konkretes Angriffsszenario und Self-XSS.
• Spam oder Inhalte, die nur dich selbst betreffen.

Regeln für deine Tests

• Nur eigene Konten. Leg dir für Tests eigene Konten und Organisationen an. Greif nicht auf Konten anderer zu.
• Fremde Daten sofort liegen lassen. Siehst du dabei Daten anderer, hör auf, speichere nichts davon, gib nichts weiter und melde es uns sofort.
• Nichts zerstören. Keine Daten löschen oder verändern, die dir nicht gehören. Keine Hintertüren oder dauerhaften Änderungen.
• Maßvoll testen. Nur so viele Anfragen, wie für den Nachweis nötig sind.
• Erst melden, dann veröffentlichen. Gib uns Zeit, die Lücke zu schließen, bevor du darüber sprichst. Den Zeitpunkt einer Veröffentlichung stimmen wir gemeinsam ab.

Wer sich an diese Regeln hält, handelt aus unserer Sicht in gutem Glauben. Wir behandeln deinen Hinweis vertraulich und sehen dich als Unterstützung, nicht als Gegner.

So meldest du

Schreib an contact.danielhaag@gmail.com mit dem Betreff „Sicherheit“. Bitte schick sensible Details nicht über das Feedback-Feld in der App.

Hilfreich sind:

1. Eine kurze Beschreibung der Schwachstelle und wo sie steckt (Adresse, Funktion).
2. Schritte, mit denen wir sie nachstellen können, gern mit Beispielanfrage oder Bildschirmfoto.
3. Was ein Angreifer damit tun könnte.
4. Wie wir dich erreichen und ob du öffentlich genannt werden möchtest, mit welchem Namen oder Link.

Was du von uns erwarten kannst

Das sind unsere Ziele. Als kleines Team können wir sie nicht in jedem Fall garantieren, aber wir halten dich auf dem Laufenden, wenn es länger dauert.

Danke

Wenn du einverstanden bist, nennen wir dich nach dem Schließen der Lücke hier, mit Namen oder Pseudonym und auf Wunsch mit Link.

Bisher wurden noch keine Lücken gemeldet. Vielleicht bist du die erste Person auf dieser Liste.