Sicherheitsinformationen

So meldest du sicher

Sende einen nicht öffentlichen Bericht an die oben genannte E-Mail-Adresse. Veröffentliche Details zur Sicherheitslücke bitte nicht in sozialen Netzwerken, öffentlichen Issues, Foren oder Chats, bevor eine Korrektur bereitsteht oder eine abgestimmte Veröffentlichung vereinbart wurde.

E-Mail ist nicht automatisch Ende-zu-Ende-verschlüsselt. Bei besonders sensiblen technischen Details sende zunächst nur eine kurze Beschreibung und bitte um Abstimmung eines geeigneten Übertragungswegs. Übermittle keine Passwörter, privaten Musikdateien oder unnötigen personenbezogenen Daten.

Hilfreiche Angaben

• Version der SpotiTechno-Anwendung
• Plattform und Version von Windows oder Android
• kurze Beschreibung des vermuteten Sicherheitsproblems
• nachvollziehbare Schritte zur Reproduktion
• relevante Logs und Screenshots, möglichst ohne personenbezogene Daten

Verantwortungsvolle Prüfung

Vermeide destruktive Tests, Social Engineering, Denial-of-Service, das Verändern fremder Daten und den Zugriff auf Daten anderer Personen. Stoppe die Prüfung, sobald unbeabsichtigt personenbezogene Daten sichtbar werden, und beschreibe den Fund im Bericht. Ein Vergütungs- oder Bug-Bounty-Programm wird nicht zugesagt.

Bearbeitung der Meldung

Eingehende Meldungen werden geprüft. Soweit eine Sicherheitslücke bestätigt wird und eine Maßnahme erforderlich ist, wird eine geeignete Korrektur oder Risikominderung vorbereitet und bei Bedarf als Update veröffentlicht. Nach verantwortbarer Veröffentlichung erscheint ein Hinweis im Abschnitt Sicherheitsupdates.

Es werden keine festen Reaktions-, Prüf- oder Behebungsfristen versprochen. Der tatsächliche Ablauf hängt unter anderem von Auswirkung, Reproduzierbarkeit und notwendigem Testumfang ab.

Как сообщить безопасно

Отправь непубличное сообщение на указанный e-mail. Не публикуй подробности уязвимости в социальных сетях, публичных Issues, форумах или чатах до выхода исправления либо согласованного раскрытия.

Обычная почта не гарантирует сквозное шифрование. Если детали особенно чувствительны, сначала пришли краткое описание и запроси согласование подходящего способа передачи. Не отправляй пароли, личные музыкальные файлы и ненужные персональные данные.

Что приложить

• версию приложения SpotiTechno;
• платформу и версию Windows или Android;
• краткое описание предполагаемой проблемы;
• понятные шаги воспроизведения;
• относящиеся к проблеме логи и скриншоты без лишних персональных данных.

Ответственная проверка

Не проводи разрушительные тесты, социальную инженерию, DoS-атаки, не изменяй чужие данные и не получай доступ к данным других людей. Если персональные данные стали видны случайно, прекрати проверку и опиши находку в письме. Выплата вознаграждения или bug bounty не обещается.

Обработка сообщения

Сообщения рассматриваются. Если уязвимость подтверждена и необходимы действия, подготавливается подходящее исправление или снижение риска, а при необходимости выпускается обновление. После безопасного раскрытия информация появляется в разделе обновлений безопасности.

Фиксированные сроки ответа, проверки или исправления не обещаются: они зависят от влияния проблемы, возможности воспроизведения и необходимого объёма тестирования.