Sicherheitsproblem melden

1 · Was dies umfasst

castomo.com, das castomo-Konto unter accounts.castomo.com, den Auftragskarten-Dienst hinter der Website und jedes Produkt, das Castomo P.S.A. darüber verkauft – die auf der Produktseite, die Sie bei uns kaufen, egal wer sie gebaut hat. Liegt das Problem in einem Produkt, das ein Partner baut, geben wir Ihre Meldung an ihn weiter und bleiben Ihr Ansprechpartner.

2 · Was Sie senden

• Wo es ist: die Adresse und, falls bekannt, das Produkt.
• Was Sie getan haben, Schritt für Schritt, damit wir es nachvollziehen können.
• Was Sie sehen oder ändern konnten und warum Sie das für relevant halten.
• Wie wir Sie erreichen, wenn Sie erfahren möchten, was wir gefunden haben.

Klartext in einer E-Mail genügt. Wir veröffentlichen keinen Verschlüsselungsschlüssel; lassen Sie also alles weg, was Sie unterwegs nicht mitgelesen wissen wollen – schreiben Sie, dass es mehr gibt, und wir vereinbaren mit Ihnen, wie wir es entgegennehmen.

3 · Worum wir Sie bitten

• Hören Sie beim Nachweis auf. Sobald Sie zeigen können, dass das Problem besteht, gehen Sie nicht weiter.
• Lesen, speichern, ändern oder löschen Sie keine fremden Daten. Sind Sie auf welche gestoßen, sagen Sie uns, worum es sich handelte, und löschen Sie Ihre Kopie.
• Bremsen Sie den Dienst nicht für die Menschen aus, die ihn nutzen: keine Lastfluten, keine automatisierten Scans in großem Umfang.
• Versuchen Sie Ihr Glück nicht bei unseren Mitarbeitern oder Kunden – kein Phishing, kein Pretexting.
• Geben Sie uns die Zeit, es zu beheben, bevor Sie etwas veröffentlichen.

4 · Wie es weitergeht

Ihre Nachricht liest jemand, der handeln kann. Wir prüfen, was Sie beschreiben, sagen Ihnen, was wir gefunden haben, und melden uns erneut, wenn es behoben ist. Wir veröffentlichen keine Antwortfrist, die wir nicht einhalten können, und deshalb steht auch hier keine.

Was Sie senden, verwenden wir nur, um das Problem zu prüfen und zu beheben und Ihnen zu antworten; die Datenschutzerklärung sagt, wie.

Es gibt kein Bug-Bounty-Programm: Wir zahlen nicht für Meldungen, und eine Meldung, die mit einer Zahlungsforderung beginnt, wird genauso beantwortet wie jede andere.

Dieselben Angaben für Tools, die danach suchen, stehen unter /.well-known/security.txt.