Sicherheitslücke melden
Schreiben Sie uns an security@digismoothie.com und geben Sie Folgendes an:
- eine Beschreibung des Problems und seiner möglichen Auswirkungen,
- die Schritte zur Reproduktion (ein Proof of Concept hilft),
- die betroffene App, URL oder den betroffenen Endpunkt.
Wir bemühen uns, Meldungen innerhalb von 5 Werktagen zu bestätigen, und halten Sie auf dem Laufenden, während wir das Problem untersuchen und beheben.
Geltungsbereich
Zum Geltungsbereich gehören alle von Digismoothie veröffentlichten Shopify-Apps sowie die Websites und Backend-Dienste, auf denen sie basieren.
Nicht im Geltungsbereich:
- Sicherheitslücken in der Shopify-Plattform selbst – bitte melden Sie diese über das Bug-Bounty-Programm von Shopify auf HackerOne,
- Shopify-Shops, Custom Apps und Integrationen, die wir als Agentur für Kunden umsetzen (siehe „Kundenprojekte“ unten),
- Denial-of-Service-Angriffe, Lasttests und Spam,
- Social Engineering oder Phishing gegen unser Team oder unsere Händler,
- Meldungen ohne nachgewiesene Sicherheitsauswirkung (z. B. Ergebnisse automatisierter Scanner, fehlende Header, SPF/DMARC-Konfiguration von E-Mails).
Richtlinien für Tests
- Testen Sie ausschließlich mit Ihrem eigenen Shopify-Entwicklungsshop.
- Greifen Sie nicht auf fremde Daten zu und verändern oder löschen Sie diese nicht. Wenn Sie auf Händler- oder Kundendaten stoßen, brechen Sie ab und informieren Sie uns.
- Geben Sie uns angemessen Zeit, das Problem zu beheben, bevor Sie es öffentlich machen.
Kundenprojekte
Die Shopify-Shops, Custom Apps und Integrationen, die wir als Agentur umsetzen, gehören unseren Kunden und werden von ihnen betrieben. Daher können wir keine Sicherheitstests daran autorisieren. Wenn Sie in einem dieser Projekte auf eine Sicherheitslücke stoßen, testen Sie bitte nicht weiter, sondern melden Sie Ihren Fund an security@digismoothie.com. Wir stimmen die Behebung mit dem Kunden ab.
Anerkennung
Wir betreiben kein bezahltes Bug-Bounty-Programm, schätzen verantwortungsvolle Meldungen aber sehr und nennen Sie gerne öffentlich, sobald das Problem behoben ist – sofern Sie das möchten.
So schützen wir Händlerdaten
Die technischen und organisatorischen Maßnahmen, die wir anwenden, sind in Anhang 1 unseres Auftragsverarbeitungsvertrags beschrieben. Wie wir mit personenbezogenen Daten umgehen, erfahren Sie in unserer Datenschutzerklärung.
Verantwortlich für Sicherheit
Für Sicherheitsanfragen ist Tomáš Buzek, CTO, verantwortlich.