Richtlinie zur verantwortungsvollen Offenlegung
Wenn Sie glauben, eine Sicherheitslücke in Idntfy gefunden zu haben, möchten wir davon erfahren. Diese Richtlinie erklärt, wie Sie sie melden, was Sie bei der Suche tun dürfen und was nicht, und wozu wir uns im Gegenzug verpflichten.
In Kraft seit
So melden Sie eine Sicherheitslücke
Senden Sie Ihre Meldung per E-Mail an:
Bitte geben Sie an:
- die betroffene Adresse, Seite oder Funktion;
- die Schritte, mit denen sich das Problem reproduzieren lässt;
- was ein Angreifer damit tun könnte;
- ob und unter welchem Namen Sie genannt werden möchten.
Wir lesen Meldungen auf Englisch und Niederländisch.
Geltungsbereich
Diese Richtlinie gilt für die Systeme, die wir betreiben:
- unsere Website (
idntfy.eu,ydntfy.com) - die Idntfy-Plattform: die Verwaltungsanwendung, ihr Anmeldedienst und ihre API (
app.idntfy.eu,auth.idntfy.eu,api.idntfy.eu) - die öffentlichen eIFU-Portale, die wir für unsere Kunden hosten, einschließlich Portalen auf der eigenen Domain eines Kunden (
*.hcp.idntfy.eu,*.patient.idntfy.eu)
Sie gilt nicht für die Dienste unserer Anbieter, etwa unserer Cloud-Hosting- und E-Mail-Anbieter. Melden Sie ein Problem in deren Systemen direkt dem jeweiligen Anbieter, nach dessen eigenen Richtlinien.
Regeln bei der Suche
Um im Rahmen dieser Richtlinie zu bleiben:
- Verwenden Sie nur Konten, die Ihnen gehören oder die Sie verwenden dürfen.
- Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und ändern, löschen oder behalten Sie sie nicht. Stoßen Sie auf personenbezogene Daten oder Inhalte eines Kunden, hören Sie auf, kopieren Sie sie nicht und teilen Sie uns dies in Ihrer Meldung mit.
- Gehen Sie nicht weiter, als nötig ist, um das Problem nachzuweisen.
- Führen Sie keine Denial-of-Service-Angriffe, Lasttests oder andere Handlungen durch, die den Dienst für andere beeinträchtigen.
- Setzen Sie kein Social Engineering und kein Phishing gegen unsere Mitarbeitenden oder Kunden ein, und greifen Sie unsere Räumlichkeiten oder Geräte nicht an.
- Hören Sie auf und melden Sie das Problem, sobald Sie es finden. Nutzen Sie es nicht, um weiter in unsere Systeme vorzudringen.
- Behandeln Sie die Einzelheiten vertraulich, bis das Problem behoben ist, wie unten unter Offenlegung beschrieben.
Wozu wir uns verpflichten
- Wir bestätigen den Eingang Ihrer Meldung innerhalb von 3 Werktagen.
- Wir teilen Ihnen mit, ob wir das Problem reproduzieren können, und halten Sie bis zur Behebung über unsere Fortschritte auf dem Laufenden.
- Wir beheben oder mindern eine Sicherheitslücke, die die Produktion betrifft, innerhalb von 7 Tagen, wenn sie kritisch ist, innerhalb von 30 Tagen, wenn sie hoch ist, und innerhalb von 90 Tagen, wenn sie mittel ist, gerechnet ab dem Zeitpunkt, zu dem wir davon wissen.
- Auf Wunsch nennen wir Sie namentlich, sobald das Problem behoben ist.
Rechtlicher Schutz
Wir werden keine rechtlichen Schritte gegen Sie einleiten und die Behörden nicht ersuchen, gegen Sie vorzugehen, wenn Sie in gutem Glauben und im Einklang mit dieser Richtlinie forschen. Unsere Nutzungsbedingungen sagen unseren Kunden dasselbe: Sicherheitsforschung in gutem Glauben, die uns im Einklang mit dieser Richtlinie gemeldet wird, ist kein Verstoß gegen ihre Regeln zur zulässigen Nutzung. Diese Richtlinie kann keinen Zugriff auf Systeme erlauben, die nicht uns gehören.
Offenlegung
Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie es veröffentlichen: 90 Tage ab Ihrer Meldung, sofern wir mit Ihnen kein anderes Datum vereinbaren. Informieren Sie uns vor der Veröffentlichung, damit wir uns darüber abstimmen können, was offengelegt wird.
Kein Bug-Bounty-Programm
Wir betreiben kein Bug-Bounty-Programm und zahlen nicht für Meldungen.
Maschinenlesbarer Kontakt
Unser Sicherheitskontakt ist außerdem in dem in RFC 9116 festgelegten Format veröffentlicht, unter: