Sicherheit

Geltungsbereich

Diese Richtlinie gilt für:

• edukamentas.lt und alle zugehörigen Subdomains
• die mobilen Apps "Edukamentas" für iOS und Android

So meldest du ein Problem

Schicke eine E-Mail an [email protected] und nenne dabei:

• eine kurze Beschreibung des Problems und der möglichen Auswirkungen,
• Schritte zur Reproduktion, URLs sowie Beispielanfragen oder -antworten,
• Screenshots, ein PoC-Video oder Beispiel-Payloads, falls relevant,
• deine Kontaktdaten, wenn du eine Rückmeldung von uns wünschst.

Wir antworten innerhalb von 5 Werktagen. Kritische Probleme bestätigen wir innerhalb von 24 Stunden.

Bitte nicht

• die Schwachstelle öffentlich machen, bevor wir eine koordinierte Veröffentlichung abgestimmt haben,
• Konten oder personenbezogene Daten anderer nutzen. Teste bitte nur mit deinem eigenen Konto,
• DoS-, Brute-Force-, Spam- oder Social-Engineering-Angriffe gegen unser Team durchführen,
• Daten verändern, löschen oder abziehen, die dir nicht gehören,
• Schwachstellen ohne unsere Zustimmung auf Drittplattformen veröffentlichen.

Nicht im Umfang enthalten

Die folgenden Meldungen akzeptieren wir in der Regel nicht:

• theoretische Meldungen ohne nachgewiesene Auswirkungen,
• Ergebnisse automatischer Scanner ohne bestätigten Exploit,
• fehlende Security-Header ohne konkreten Ausnutzungsweg,
• SPF-, DKIM- oder DMARC-Konfigurationen ohne echte Spoofing-Nachweise,
• Lücken beim Rate Limiting ohne nachvollziehbares Schadensszenario,
• Self-XSS oder Clickjacking ohne sensible Aktion.

Unser Versprechen

• Wenn du nach Treu und Glauben im Rahmen dieser Richtlinie handelst, leiten wir keine rechtlichen Schritte ein.
• Wir bestätigen den Eingang und halten dich über den Fortschritt auf dem Laufenden.
• Bestätigte Probleme beheben wir je nach Schweregrad in angemessener Zeit.
• Wenn du einverstanden bist, bedanken wir uns öffentlich bei dir, zum Beispiel in sozialen Medien, auf LinkedIn oder in einem Blogbeitrag.
• Das Edukamentas-Team nimmt an OWASP- und anderen Sicherheitskonferenzen teil. Die Security-Community ist uns wichtig, und wir geben uns nach bestem Wissen und Gewissen Mühe.

Belohnungen

Wir sind ein junges, wachsendes Unternehmen und haben derzeit noch kein formales Bug-Bounty-Programm. Trotzdem möchten wir uns für relevante Funde bestmöglich bedanken: fallweise, abhängig von Auswirkung und Komplexität. In der Regel ist das eine Geldprämie in einer für uns tragbaren Höhe. Kritische Probleme behandeln wir mit Priorität.