Richtlinie zur Meldung von Sicherheitslücken
So melden Sie eine Sicherheitslücke in OneBob
1. Unsere Selbstverpflichtung
Wir nehmen die Sicherheit von OneBob ernst. Wenn Sie eine Sicherheitslücke in unseren Systemen vermuten, bitten wir Sie, diese wie unten beschrieben zu melden, damit wir sie schnellstmöglich beheben können. Diese Richtlinie ist das menschenlesbare Gegenstück zu unserer maschinenlesbaren security.txt unter /.well-known/security.txt (RFC 9116).
2. So melden Sie eine Lücke
Bitte senden Sie Ihre Meldung per E-Mail:
E-Mail: help@onebob.io
Bevorzugte Sprachen: Englisch, Deutsch.
Wenn Sie verschlüsselt kommunizieren möchten, fordern Sie unseren öffentlichen Schlüssel per E-Mail an; wir senden ihn Ihnen zu. Wir veröffentlichen aktuell keinen OpenPGP-Schlüssel zusammen mit dieser Richtlinie. Wenn Sie schon vor der ersten Nachricht Ende-zu-Ende-Verschlüsselung benötigen, weisen Sie bitte im Betreff darauf hin.
3. Geltungsbereich
Im Geltungsbereich dieser Richtlinie sind:
- Die Marketing-Website onebob.io und alle Anwendungsseiten unter derselben Domain.
- Die öffentlichen Buchungs-Endpoints (/book/{user}/{event}) und File-Drop-Links.
- Die OAuth-Callback-Endpoints für die Microsoft-365- und Google-Workspace-Integrationen.
- Der Stripe-Webhook und der Customer-Portal-Rückleit-Handler.
Außerhalb des Geltungsbereichs sind:
- Befunde, die physischen Zugriff auf ein Nutzergerät oder Social Engineering von Mitarbeitern oder Kunden erfordern.
- Denial-of-Service-Tests gegen die Produktivumgebung. Volumetrische oder ratenbasierte Tests bedürfen vorab unserer schriftlichen Zustimmung.
- Meldungen zu Drittanbieter-Diensten, auf die wir uns stützen (Stripe, Cloudflare, Hetzner). Bitte melden Sie diese direkt beim jeweiligen Anbieter.
- Meldungen, die nur aus automatisierten Scanner-Ausgaben ohne Reproduktion bestehen.
4. Regeln für Tests
Bitte beachten Sie beim Testen:
- Interagieren Sie ausschließlich mit Konten, die Sie selbst besitzen, oder mit Test-Mandanten, die Sie selbst angelegt haben.
- Greifen Sie nicht auf fremde Daten zu, verändern, exfiltrieren oder zerstören Sie diese nicht. Stoppen Sie, sobald Sie einen Nachweis haben, und melden Sie sich.
- Führen Sie automatisierte Scanner nicht in einer Rate aus, die die Verfügbarkeit für andere Mandanten beeinträchtigt.
- Geben Sie uns ein angemessenes Zeitfenster für Untersuchung und Behebung (standardmäßig 90 Tage), bevor Sie öffentlich offenlegen.
- Sollten Sie versehentlich auf fremde Daten zugreifen, löschen Sie Ihre Kopien und teilen Sie uns dies in der Meldung mit.
5. Safe Harbor
Wir verzichten auf rechtliche Schritte gegen Forscherinnen und Forscher, die Schwachstellen in gutem Glauben und im Rahmen dieser Richtlinie melden. Sicherheitsforschung, die diesen Regeln folgt, betrachten wir als nach § 202a-c StGB und vergleichbaren internationalen Vorschriften autorisierte Tätigkeit. Auf Anfrage klären wir gerne vorab, ob ein geplanter Test im Geltungsbereich liegt.
6. Was Sie erwarten dürfen
- Wir bestätigen den Eingang Ihrer Meldung innerhalb von zwei Werktagen.
- Wir streben eine erste Einschätzung (Schweregrad, geplantes Behebungsfenster) innerhalb von fünf Werktagen an.
- Wir stimmen den Veröffentlichungszeitpunkt mit Ihnen ab und nennen Sie in den Release-Notes, sofern Sie das nicht ablehnen.
- Wir betreiben aktuell kein bezahltes Bug-Bounty-Programm. Mit Ihrer Zustimmung würdigen wir Forschende öffentlich.
7. Maschinenlesbare Belege
Unsere security.txt liegt gemäß RFC 9116 unter https://onebob.io/.well-known/security.txt und nennt die kanonische Kontakt-Mailbox, die URL dieser Richtlinie, das Ablaufdatum der Datei selbst und die bevorzugten Sprachen. Composer- und npm-Lockfiles werden bei jedem Merge Request und täglich planmäßig in unserer CI-Pipeline auditiert; Advisories mit hohem Schweregrad blockieren das Deployment.