Sicherheitsrichtlinie

Die Sicherheit von Ledgerly und der Daten unserer Nutzer hat Prioritat. Wenn Sie Sicherheitsforscher sind und eine Schwachstelle gefunden zu haben glauben, erklart diese Seite, wie Sie diese verantwortungsvoll melden. Jede Meldung in gutem Glauben ist willkommen.

Geltungsbereich

Folgendes fallt in den Geltungsbereich dieser Richtlinie,

  • die Webanwendung unter ledgerly.be und ihre Subdomains
  • der Kontobereich, Authentifizierung, Sitzungs- und Zugriffsverwaltung
  • die Geschaftslogik fur Rechnungsstellung, Mehrwertsteuer und Buchhaltungsdaten

Ausserhalb des Geltungsbereichs

Folgende Aktivitaten und Meldungen werden nicht akzeptiert,

  • Denial-of-Service-Angriffe (DoS, DDoS) und Lasttests
  • Phishing, Social Engineering gegen unsere Nutzer oder Mitarbeiter, Spam
  • physischer Zugriff, Tests der von uns genutzten Drittanbieterdienste (Zahlung, Hosting, Bank)
  • Meldungen, die allein auf automatisierten Scannern ohne Nachweis realer Auswirkungen beruhen

Einzuhaltende Regeln

  • Testen Sie ausschliesslich mit einem selbst erstellten Konto, greifen Sie niemals auf Daten anderer Nutzer zu.
  • Extrahieren, andern oder loschen Sie keine Daten, horen Sie auf, sobald eine Schwachstelle nachgewiesen ist.
  • Beeintrachtigen Sie den Dienst nicht und storen Sie den Betrieb fur andere Nutzer nicht.
  • Machen Sie die Schwachstelle nicht offentlich, bevor sie behoben ist und wir zugestimmt haben.

So melden Sie eine Schwachstelle

Senden Sie uns einen ausfuhrlichen Bericht per E-Mail. Wir melden uns so schnell wie moglich.

Sicherheitskontakt, security@ledgerly.be

  • eine klare Beschreibung der Schwachstelle und ihrer moglichen Auswirkungen
  • die genauen Schritte zur Reproduktion (URL, Anfragen, Screenshots)
  • gegebenenfalls einen Vorschlag zur Behebung

Unsere Zusage

Wenn Sie diese Richtlinie einhalten und in gutem Glauben handeln,

  • bestatigen wir den Eingang Ihres Berichts und halten Sie uber die Bearbeitung auf dem Laufenden
  • beheben wir bestatigte Schwachstellen innerhalb einer angemessenen Frist je nach Schweregrad
  • leiten wir keine rechtlichen Schritte gegen Sie ein fur Tests, die gemass diesen Regeln durchgefuhrt wurden

Belohnung

Ledgerly bietet derzeit kein bezahltes Bug-Bounty-Programm an. Wir danken den Forschern jedoch herzlich fur ihren Beitrag und konnen sie mit ihrer Zustimmung offentlich nennen, sobald die Schwachstelle behoben ist.