Sicherheitsrichtlinie
Zuletzt aktualisiert: 2026-05-13
Wir nehmen Sicherheit ernst. Diese Richtlinie legt fest, wie eine Schwachstelle gemeldet wird, was wir versprechen und was im Umfang enthalten ist. Die kanonischen Metadaten für Sicherheitsforscher befinden sich auch unter /.well-known/security.txt (RFC 9116).
1. So melden Sie eine Schwachstelle
Schreiben Sie an [email protected] - PGP-Schlüssel auf Anfrage. Ein HackerOne-Programm (https://hackerone.com/elido) ist in unserer security.txt aufgeführt; die E-Mail ist der Weg, den wir überwachen. Bitte geben Sie Schritte zur Reproduktion, die betroffene URL bzw. den Endpunkt und die beobachteten Auswirkungen an. Veröffentlichen Sie keine Details, bevor wir eine Behebung abgestimmt haben.
2. Reaktions-SLA
Erste Antwort: Ziel innerhalb von 24 Stunden. Einstufung mit Schweregrad-Bewertung: innerhalb von 5 Werktagen. Ziel für die Behebung: 14 Tage für High/Critical, 30 Tage für Medium/Low. Wenn eine Behebung länger dauert (z. B. Warten auf Abhängigkeiten von Drittanbietern), halten wir Sie wöchentlich auf dem Laufenden.
3. Im Umfang enthalten
elido.app (Marketing), app.elido.app (Dashboard), api.elido.app (REST + GraphQL), elido.me / f.elido.me / s.elido.me / b.elido.me (Weiterleitungs-Tiers), docs.elido.app, die Elido iOS- und Android-Apps, die offiziellen Elido-SDKs und der Elido MCP-Server.
4. Nicht im Umfang enthalten
Von uns genutzte Drittanbieter-Dienste (unsere Authentifizierungs- und Identitätsebene, unser Support-Chat-Anbieter, Cloudflare, Anthropic, monobank Plata, Coinbase Commerce, WorkOS, Resend) - bitte melden Sie diese direkt dort. Brute-Force-Angriffe auf ratenbegrenzte Endpunkte (diese testen wir selbst). Social Engineering von Elido-Mitarbeitern. Volumetrische / DoS-Angriffe. Erkenntnisse, die darauf basieren, dass das Opfer bösartige Software außerhalb von Elido installiert. Offene Weiterleitungen über den Kurzlink selbst - das ist der Dienst.
5. Safe Harbor
Wenn Sie sich nach bestem Wissen und Gewissen bemühen, diese Richtlinie einzuhalten, werden wir keine rechtlichen Schritte einleiten und mit Ihnen zusammenarbeiten, um das Problem zu verstehen und zu beheben. Konkret: Tests gegen Konten, die Sie besitzen, kein Exfiltrieren von Produktionsdaten, keine Beeinträchtigung anderer Kunden und keine öffentliche Offenlegung, bevor wir eine Behebung veröffentlicht haben.
6. Belohnungen
Wir bauen ein bezahltes Bug-Bounty-Programm auf HackerOne auf. Die Richtwerte für die Prämien (USD) lauten Critical $3000, High $1500, Medium $500, Low $200, Trivial $50 in Form von Swag, doch Prämien werden nur für Meldungen gezahlt, die im Rahmen eines aktiven Programms akzeptiert werden, und die Höhe hängt von Auswirkung, Neuartigkeit und Qualität der Meldung ab. Bis das Programm aktiv ist, sind Prämien freiwillig. Gültige Meldungen führen wir mit Ihrer Zustimmung unter /legal/security-acknowledgments auf.
7. Danksagungen
Wir danken Forschern, die uns helfen, öffentlich unter /legal/security-acknowledgments - Handle oder echter Name nach Ihrer Wahl, und erst nachdem das Problem behoben wurde.