1. Schwachstelle melden
Wenn Sie eine Sicherheitslücke entdecken, schreiben Sie uns an security@aukilo.com (oder an contact@aukilo.com mit „[SECURITY]" im Betreff).
Wir bestätigen den Eingang innerhalb von 72 Werkstunden und halten Sie über den Fortschritt auf dem Laufenden.
Um die Triage zu beschleunigen, geben Sie bitte nach Möglichkeit an:
- eine klare Beschreibung der Schwachstelle und ihrer Auswirkungen;
- die Schritte zur Reproduktion;
- die App-Version oder die betroffene URL;
- Ihren Namen oder Ihr Pseudonym, falls Sie genannt werden möchten.
2. Geltungsbereich
Diese Richtlinie deckt ab:
- die Website und Subdomains von aukilo.com, einschließlich der Web-App app.aukilo.com;
- die mobile App Aukilo (iOS und Android);
- die im offiziellen Projekt bereitgestellten Supabase Edge Functions.
3. Nicht im Geltungsbereich
Folgende Punkte sind nicht abgedeckt und nicht für eine verantwortliche Offenlegung geeignet:
- Denial-of-Service-Angriffe (DOS / DDoS);
- Phishing und Social Engineering gegen Team oder Nutzer;
- massives Scraping oder Versuche, Quoten zu umgehen;
- bereits bekannte oder in Bearbeitung befindliche Schwachstellen;
- Drittanbieterdienste (Vercel, Supabase, Firebase, Google) — direkt beim Anbieter melden;
- veraltete E-Mail-Adressen oder geparkte Domains.
4. Unsere Zusage
Wenn Sie die Regeln dieser Richtlinie befolgen:
- verfolgen wir Sie nicht rechtlich;
- arbeiten wir mit Ihnen an Bestätigung und Behebung;
- danken wir Ihnen öffentlich (mit Ihrem Einverständnis), sobald der Fix ausgerollt ist;
- veröffentlichen wir bei Bedarf einen anonymen Post-Mortem.
Aukilo betreibt (noch) kein bezahltes Bug-Bounty-Programm. Die Anerkennung ist symbolisch.
5. Zu beachtende Regeln
Um von unserer Zusage zu profitieren, bitte:
- greife nicht ohne Zustimmung auf Nutzerdaten zu und ändere sie nicht;
- beeinträchtige nicht den Dienst und unterbrich seinen Betrieb nicht;
- veröffentliche die Schwachstelle nicht, bevor wir sie behoben haben;
- nutze die Schwachstelle nicht über ein minimales Proof of Concept hinaus.
6. Nutzerdaten
Aukilo verarbeitet personenbezogene Daten gemäß der DSGVO und unserer Datenschutzerklärung. Wenn eine Schwachstelle personenbezogene Daten offenlegt, wenden wir die gesetzlichen Meldepflichten an (CNIL, betroffene Nutzer).
7. Kontakt
Für Fragen zu dieser Richtlinie: security@aukilo.com.
PGP-Schlüssel auf Anfrage für sensible Meldungen verfügbar.