Bug Bounty Programm

Das Programm Wichtig: Das ZAP-Hosting Bug Bounty Programm ist nicht für Probleme mit unserem Webinterface oder Produkten gedacht, die sich nicht auf Sicherheit beziehen. Bitte erstelle für solche Fälle ein normales Ticket und wir lösen das Problem zusammen so schnell wie möglich. Bei Einhaltung der Regeln werden wir keine rechtlichen Schritte einleiten. Du erhältst in der Regel innerhalb von maximal 72 Stunden eine erste Antwort.

Bedingungen

• Du musst der Erste sein, der die Lücke meldet.
• Bitte gib keine Informationen über die gemeldete Lücke weiter. Wenn du öffentlich über die Lücke in einem Writeup berichten möchtest, melde dich bitte vorher bei uns.
• Zeige deinen guten Willen und versuche nicht auf kritische Daten zuzugreifen (führe in RCE-Lücken beispielsweise id aus statt /etc/passwd zu dumpen), sie zu zerstören oder unseren Service anderweitig abzuwerten. Sollte es für die Überprüfung der Lücke zwingend notwendig sein kritische Daten einzusehen, erläutere uns das bitte in deinem Report.
• Melde die gefundene Lücke nachdem du sie überprüft hast so schnell wie möglich.
• Nutze keine automatisierten Tools (z.B. sqlmap)
• Sende uns klare Schritte, mit denen wir die Lücke reproduzieren können, und ein Beispiel in dem du uns zeigst, wie sicherheitsrelevant die Lücke ist.
• Erstelle maximal zwei Accounts. Das sollte für alle Szenarien ausreichen.

Report & Bounty Melde die gefundene Lücke bitte, indem du ein Ticket erstellst und im Dropdown bei „Bezug auf“ Sicherheitslücke auswählst. Das ermöglicht uns deine Meldung zuzuordnen und so schnell wie möglich zu bearbeiten. Sende uns pro Report bitte nur eine Lücke. Wichtig: Bitte melde keine Lücke über andere Kanäle wie z.B. die unten angegebene Mail-Adresse, die für Fragen und ähnliche Anliegen gedacht ist.

Als Belohnung dafür, dass du unsere Sicherheit und die Privatsphäre unserer Kunden verbesserst, erhältst du selbstverständlich eine entsprechende Bug Bounty.

Scope

• zap-hosting.com
• rest.zap-hosting.com
• Server aus dem ZAP Hosting Netzwerk, die wir kontrollieren (keine Kundenserver)

Nicht im Scope

• Denial of service
• Spamming
• Social engineering (inklusive Phishing) von ZAP-Hosting Mitarbeitern oder Rechenzentren
• Physisches Eindringen bei ZAP-Hosting oder Rechenzentren
• Fehlende Cookie Flags auf nicht sicherheitsrelevanten Cookies
• CSRF (ohne ein Beispiel, was uns eine sicherheitsrelevante Auswirkung zeigt)
• Preisgabe von nicht kritischen Informationen
• Beschreibende Fehlermeldungen (z.B. Stack Traces oder Server Fehlermeldungen)
• Open Redirects (ohne ein Beispiel, wie dieser kritisch eingesetzt werden kann)
• Meldungen von veralteten Versionen ohne praktisches Beispiel
• Captcha Bypass
• Self-XSS (insofern kein Szenario herbeigeführt werden kann, in dem andere Nutzer betroffen sind)
• Fehlende Sicherheits-HTTP-Header
• Lücken, die nur in extrem veralteten Browsern reproduzierbar sind
• Bekannte Lücken in beispielsweise WordPress

Wenn du eine Lücke gefunden hast, die nicht im Scope ist oder nicht speziell oben im Scope gelistet ist, deiner Meinung nach aber kritisch ist, bitten wir dich sie trotzdem zu melden. Wir schauen uns die Problematik gerne an und entscheiden dann, ob es sich hier um eine Ausnahme handelt.

Bei Fragen stehen wir dir gerne zur Verfügung: security@zap-hosting.com (hier bitte keine Lücken melden)