Kostenlos scannen
Stand:

Sicherheitslücke melden

Wir prüfen die Sicherheit anderer Seiten, also müssen wir bei unserer eigenen besonders genau sein. Haben Sie eine Lücke in Hullwise gefunden, sagen Sie es uns bitte zuerst. Vielen Dank.

1So melden Sie eine Lücke

Schreiben Sie an cem@cdcapital-group.com. Bitte nicht öffentlich und nicht über soziale Netzwerke.

Hilfreich ist:

  • Welche Adresse oder welcher Teil betroffen ist, also Website, API oder MCP-Server
  • Was Sie gemacht haben, Schritt für Schritt, damit wir es nachstellen können
  • Was jemand damit erreichen könnte
  • Wie wir Sie erreichen, wenn wir Rückfragen haben

2Was im Rahmen ist

  • Die Website von Hullwise, die API unter /api/v1 und der MCP-Server unter /mcp
  • Wege, mit denen der Check auf interne Adressen gelenkt werden könnte, auch über die JavaScript-Dateien, die er lädt
  • Wege, an Daten anderer Konten zu kommen, etwa Verlauf oder Schlüssel
  • Umgehung der Limits, der Anmeldung oder der Kürzung von Berichten ohne bezahlten Plan

3Regeln beim Testen

  • Testen Sie nur mit Ihrem eigenen Konto. Greifen Sie nicht auf Daten anderer zu, auch nicht zum Beweis.
  • Keine Überlastung, keine Denial-of-Service-Versuche, keine automatisierten Massen-Anfragen.
  • Kein Social Engineering gegenüber uns oder unseren Dienstleistern.
  • Lücken bei Vercel, Supabase, Stripe oder Resend melden Sie bitte direkt dort.
  • Geben Sie uns Zeit, die Lücke zu schließen, bevor Sie darüber sprechen. Den Zeitpunkt einer Veröffentlichung stimmen wir gern mit Ihnen ab.

4Was Sie von uns erwarten können

  • Wir bestätigen den Eingang Ihrer Meldung und halten Sie auf dem Laufenden, in der Regel innerhalb von fünf Werktagen.
  • Wir schließen bestätigte Lücken so schnell wie möglich und sagen Ihnen, wenn es so weit ist.
  • Wenn Sie möchten, nennen wir Sie mit Namen, sobald die Lücke geschlossen ist.
  • Wer sich an diese Regeln hält und in gutem Glauben handelt, muss von uns keine rechtlichen Schritte befürchten.
  • Ein Prämienprogramm gibt es derzeit nicht.

5security.txt

Die Kontaktdaten stehen auch maschinenlesbar nach RFC 9116 unter /.well-known/security.txt. Wie der Check fremde Seiten prüft und was er nie tut, steht unter So prüfen wir.