Eine Sicherheitslücke gefunden? Wir erfahren es lieber von Ihnen.
Schreiben Sie uns über dieses Formular. Es gibt keine Adresse zum Kopieren: Ihre Meldung geht an das Trupeo-Team, gekennzeichnet als Sicherheitsmeldung. Sie können auf Englisch oder Französisch schreiben.
Ihre Meldung
Alle Felder außer Ihrer Organisation sind Pflichtfelder.
Versendet mit der Kennzeichnung: Eine Sicherheitslücke.
Meldung gesendet.
Danke. Wir bestätigen den Eingang an innerhalb von 5 Arbeitstagen.
Wie es weitergeht.
ALK Innovations, das Unternehmen hinter Trupeo, ist ein kleines Team. Damit können Sie rechnen.
- Innerhalb von 5 Arbeitstagen
Wir bestätigen den Eingang
Wir bestätigen jede Meldung innerhalb von 5 Arbeitstagen. Diese Bestätigung kann die einzige Nachricht bleiben, bis das Problem behoben ist.
- Sobald entschieden
Wir halten Sie auf dem Laufenden
Wir sagen Ihnen, wenn es behoben ist, und wenn wir es nicht beheben, sagen wir Ihnen, warum.
- Keine Nachricht
Erneut senden
Wenn Sie innerhalb von 10 Arbeitstagen nichts von uns hören, ist Ihre Meldung wohl nicht angekommen: Senden Sie sie bitte erneut.
Ein bezahltes Bug-Bounty-Programm haben wir derzeit nicht.
Der Geltungsbereich.
Was zum Geltungsbereich gehört
- app.trupeo.com: die Anwendung und ihre API unter /api/.
- trupeo.com und www.trupeo.com: diese Website.
- Die Prozesse, die die E-Mails der Postfächer abrufen und ablegen, soweit Sie sie über das Produkt erreichen.
Was nicht dazugehört
Diese Meldungen schließen wir ohne Korrektur:
- Funde eines automatischen Scanners ohne nachgewiesene Auswirkung.
- Fehlende Härtungs-Header bei Endpunkten, die keine Inhalte hinter einer Anmeldung ausliefern.
- Denial of Service durch hohes Aufkommen, das Umgehen von Rate Limits über viele Quelladressen oder alles, was physischen Zugang zum Gerät einer Person erfordert.
- Social Engineering gegenüber dem Team von ALK Innovations oder den Menschen, die Trupeo verwenden.
- Schwachstellen bei einem Drittanbieter, auf den Trupeo angewiesen ist: Melden Sie diese dem Drittanbieter, und sagen Sie es auch uns, wenn die Konfiguration von Trupeo sie ausnutzbar macht.
- Alles, was voraussetzt, dass jemand bereits Schadsoftware installiert oder das eigene Passwort herausgegeben hat.
Regeln für Sicherheitstests
Was wir im Gegenzug für die Zusage oben unter „Vor dem Senden“ erwarten.
Zurück zur Zusage- Testen Sie mit Konten, die Ihnen gehören. Unter app.trupeo.com kann jede Person ein Trupeo-Konto anlegen, mit einer kostenlosen Testphase von 30 Tagen und ohne Karte. Die Daten anderer müssen Sie also nicht anfassen, und eine Meldung, die das tut, ist weder in gutem Glauben noch im Geltungsbereich.
- Führen Sie keine Last- oder Stresstests durch, und ändern oder löschen Sie keine Daten, die Sie nicht selbst angelegt haben.
- Wenn Sie die Lücke nur zeigen könnten, indem Sie das Postfach einer anderen Person lesen, hören Sie an dem Punkt auf, an dem Sie gezeigt haben, dass es möglich wäre, und sagen Sie uns stattdessen das.