Richtlinie zur Offenlegung von Schwachstellen

Unser Engagement

Wir nehmen die Sicherheit unserer Nutzer und ihrer Daten sehr ernst. Wir begrüßen Meldungen von Sicherheitsforschern und arbeiten mit Ihnen zusammen, um jedes Problem schnell zu verstehen und zu beheben. Wir werden keine rechtlichen Schritte gegen Sie einleiten, wenn Sie im Rahmen dieser Richtlinie in gutem Glauben Sicherheitsforschung betreiben.

Geltungsbereich

Im Geltungsbereich

• ahaslides.com und seine Subdomains (zum Beispiel presenter.dev.ahaslide.com und audience.ahaslides.com)
• Die AhaSlides-Webanwendung, Präsentations- und Publikums-Apps

Außer Reichweite

• Denial-of-Service-Angriffe (DoS/DDoS) und volumetrische oder Traffic-Flooding-Tests
• Soziale Manipulation von Mitarbeitern, Nutzern oder Auftragnehmern; physische Angriffe
• Spam oder Ergebnisse von automatisierten Scannern ohne nachweisbare, ausnutzbare Auswirkungen
• Berichte, die nur nicht mehr unterstützte oder abgekündigte Browser betreffen
• Dienstleistungen von Drittanbietern, die wir nicht kontrollieren (bitte wenden Sie sich in solchen Fällen an den jeweiligen Drittanbieter).
• Offener (nicht authentifizierter) Publikumszugang: Die Publikums-App ermöglicht es bewusst jedem, ohne Konto oder Anmeldung an einer Präsentation teilzunehmen und Antworten abzugeben, um eine freie Beteiligung zu gewährleisten. Meldungen über fehlende Authentifizierung beim Beitritt oder der Abgabe von Beiträgen werden nicht als Sicherheitslücken behandelt.
• Empfehlungen für bewährte Verfahren ohne Sicherheitsauswirkungen (z. B. fehlende Header ohne Exploit, SPF/DMARC-Fehlerbehebung, Self-XSS, Ratenbegrenzungsempfehlungen) sind willkommen, werden aber nicht als Sicherheitslücken behandelt.

Rules of Engagement

Bitte kontaktieren Sie uns, wenn Sie Probleme im Zusammenhang mit dieser Website haben oder do:

• Melden Sie uns das Problem bitte umgehend und geben Sie uns eine angemessene Zeit, es zu beheben, bevor Sie es öffentlich machen.
• Verwenden Sie ausschließlich Ihre eigenen Testkonten. Beschränken Sie sich auf den Machbarkeitsnachweis.

Bitte kontaktieren Sie uns, wenn Sie Probleme im Zusammenhang mit dieser Website haben oder unterlasse:

• Greifen Sie nicht auf Daten zu, die Ihnen nicht gehören, ändern, laden Sie sie herunter oder löschen Sie sie. Zum Nachweis des Zugriffs genügt ein Screenshot oder ein minimaler, geschwärzter Datensatz. Exfiltrieren Sie daher keine echten Benutzerdaten.
• Unsere Dienste beeinträchtigen oder unterbrechen oder automatisierte Massenangriffe durchführen.
• Machen Sie das Problem öffentlich, bevor wir seine Behebung bestätigt haben (siehe Koordinierte Offenlegung).

Wie melde ich mich?

E-Mail security@ahaslides.com mit:

1. Eine klare Beschreibung der Schwachstelle und ihrer Auswirkungen.
2. Schrittweise Reproduktion, einschließlich der betroffenen URL oder des betroffenen Endpunkts.
3. Machbarkeitsnachweis (Screenshots, ein kurzes Video oder eine minimale Anfrage), geschwärzt.
4. Ihr Name oder Benutzername für die Nennung (optional).

Was Sie von uns erwarten können

• Wissen . 2 Werktagen.
• A Triage-Entscheidung (gültig, weitere Informationen erforderlich oder außerhalb des Geltungsbereichs) innerhalb 5 Werktagen.
• Sie erhalten regelmäßige Updates, während wir an einer Lösung arbeiten, und werden benachrichtigt, sobald das Problem behoben ist.
• Öffentliche Nennung in unseren Wertpapierbestätigungen, falls gewünscht.

Koordinierte Offenlegung

Wir bitten Sie, die Details vertraulich zu behandeln, bis wir die Bereitstellung des Fixes bestätigt haben, und jegliche öffentliche Veröffentlichung mit uns abzustimmen. Unser angestrebter Zeitraum für die Fehlerbehebung ist 90 TageFalls wir mehr Zeit benötigen, teilen wir Ihnen den Grund mit.

Wahrnehmung

AhaSlides ist ein wachsendes Unternehmen und betreibt kein festes, veröffentlichtes Prämienprogramm. Sofern ein Bericht gültig, originell und verantwortungsvoll veröffentlicht ist, können wir nach eigenem Ermessen eine kleine Anerkennung und/oder öffentliche Nennung als Dankeschön anbieten.

Doppelte Berichte. Wenn mehrere Personen dasselbe Problem melden, erster reproduzierbarer Bericht, den wir erhalten Nur wer für eine Auszeichnung in Frage kommt, ist berechtigt. Spätere Berichterstatter zum selben Thema können dennoch öffentliche Anerkennung erhalten, wenn sie wesentlich neue Informationen hinzufügen (zum Beispiel einen schwerwiegenderen Einschlag, eine bessere Reproduktion oder eine weitere betroffene Fläche).

Bekannte Probleme. Sollten wir bereits Kenntnis von einem Problem haben und es intern erfasst sein, bevor Ihre Meldung eingeht, werden wir uns dennoch bedanken und den Erhalt bestätigen. In diesem Fall besteht jedoch kein Anspruch auf eine Prämie. Wie bei Duplikaten können wir gegebenenfalls eine öffentliche Anerkennung gewähren, wenn Ihre Meldung wesentlich neue Informationen enthält.

Wir sind Ihnen stets dankbar für Ihre Hilfe, AhaSlides sicher zu halten.