Entwurf – Dokument wird derzeit von einem Juristen geprüft. Diese Richtlinie kann nach der Prüfung präzisiert werden.

Diese Übersetzung dient nur zur Information: Rechtsverbindlich ist ausschließlich die französische Fassung dieses Dokuments. Version française

Sicherheitslücke melden

Richtlinie zur verantwortungsvollen Offenlegung

Haben Sie in Omnifloo Office eine Sicherheitslücke gefunden? Bitte melden Sie sie uns vor einer öffentlichen Bekanntgabe: So können wir sie beheben und die Nutzer schützen.

1. Wie Sie uns schreiben

Senden Sie Ihre Nachricht an securite@omnifloo.com, auf Französisch oder Englisch. Diese Angaben helfen uns, das Problem nachzustellen:

die betroffene Adresse oder Funktion und die Art der Lücke;
die Schritte zur Reproduktion, wenn möglich mit Screenshot oder kurzem Skript;
die Auswirkung, die Sie festgestellt haben oder befürchten;
eine Möglichkeit, Ihnen zu antworten, und auf Wunsch der Name, unter dem Sie genannt werden möchten.

Dieselben Kontaktangaben sind maschinenlesbar in der Datei security.txt (RFC 9116) veröffentlicht. Fügen Sie keine echten personenbezogenen Daten bei: Beschreiben Sie stattdessen deren Art.

2. Wozu wir uns verpflichten

Den Eingang Ihrer Meldung innerhalb von 3 Werktagen bestätigen.
Den Schweregrad bewerten, Sie über den Fortschritt informieren und Ihnen mitteilen, wenn die Lücke behoben ist.
Die schwerwiegendsten Lücken vorrangig beheben, ohne garantierte feste Frist: Die Dauer hängt von der Komplexität ab.
Keine rechtlichen Schritte gegen Personen einleiten, die in gutem Glauben gehandelt und die folgenden Regeln beachtet haben.
Auf Wunsch Ihren Namen in unseren Danksagungen nennen. Eine finanzielle Belohnung bieten wir nicht an.

3. Worum wir Sie bitten

Beschränken Sie Ihre Tests auf das zum Nachweis der Lücke unbedingt Nötige, ohne fremde Daten einzusehen, zu ändern oder zu löschen.
Beeinträchtigen Sie den Dienst nicht: keine Dienstblockade, keine Lasttests, kein Spam.
Nutzen Sie die Lücke nicht über den Nachweis hinaus aus und geben Sie sie nicht an Dritte weiter.
Geben Sie uns vor einer Veröffentlichung angemessen Zeit zur Behebung; mangels Einigung 90 Tage nach Ihrer Meldung.

4. Geltungsbereich

Im Geltungsbereich: das Omnifloo-Office-Portal, der Dateibereich, der Server zur Dokumentbearbeitung und die weiteren Dienste unter der Domain omnifloo.com und ihren Subdomains. Nicht Gegenstand dieser Richtlinie: Social Engineering (Phishing gegen unser Team oder unsere Nutzer), physische Angriffe, die Dienste unserer Dienstleister (Hosting, E-Mail, Zahlung), die eigene Verfahren haben, und Berichte automatischer Werkzeuge ohne nachgewiesene Auswirkung.

5. Aktueller Stand

Die vorhandenen Sicherheitsmaßnahmen sind auf der Seite Souveränität und Hosting beschrieben. Der Portalcode wurde internen Audits mit anschließenden Korrekturen und Gegenprüfungen unterzogen. Ein Penetrationstest durch einen unabhängigen Dritten wurde bisher nicht durchgeführt: Das ist einer der Gründe, warum Ihre Meldung wertvoll ist.