Sicherheitsrichtlinie

So meldest du ein Sicherheitsproblem

Schreib uns direkt.

E-Mail: security@workoutgen.app

RFC 9116-Datei: /.well-known/security.txt

Bitte füge Folgendes hinzu

• Klare Schritte zur Reproduktion
• Der genaue getestete Bereich (URL, Endpoint, User Flow, Kontotyp, Umgebung)
• Datum und Uhrzeit des Tests in UTC
• Eine messbare Auswirkung
• Bereinigte Anfragen und Antworten, Logs oder HAR-Dateien, falls relevant
• Ein Proof of Concept oder Screenshots, falls möglich
• Bei Sitzungs- oder Replay-Problemen die genaue Verzögerung zwischen den Aktionen und ob das Problem nach einem Refresh oder nach mehr als 60 Sekunden weiterhin besteht

Scope

Diese Richtlinie gilt für workoutgen.app, my.workoutgen.app, api.workoutgen.app, unsere iPhone-, Android- und Windows-Apps sowie alle unsere zugehörigen Dienste. Wenn du dir nicht sicher bist, ob etwas in den Geltungsbereich fällt, frag einfach vorher nach, uns ist ein Fehlalarm lieber als ein echtes, übersehenes Problem.

Meldungen, die ausschließlich von Browser-Erweiterungen, lokaler Malware, Self-XSS ohne Privilegiengrenze oder dem Verhalten von Drittanbietern ohne nachgewiesene Auswirkung auf WorkoutGen abhängen, liegen im Allgemeinen außerhalb des Scopes.

Was wir von dir erwarten

• Greife nicht auf Nutzerdaten zu, die über das absolut Notwendige hinausgehen, um die Existenz der Schwachstelle zu beweisen
• Führe keine Denial-of-Service-Tests durch, unsere Infrastruktur ist knapp bemessen und jede Anfrage verursacht Kosten
• Kein Social Engineering, Phishing oder physische Angriffe
• Wenn du versehentlich auf etwas Sensibles stößt, halte inne und sag es uns, wir behandeln das vertraulich und arbeiten mit dir zusammen, nicht gegen dich
• Bitte halte die Tests im Rahmen und vermeide jegliche Automatisierung, die den Dienst beeinträchtigen könnte
• Bitte maskiere aktive Token, Geheimnisse und persönliche Daten, bevor du Nachweise sendest

Was du von uns erwarten kannst

Wir bestätigen den Eingang innerhalb von 72 Stunden und informieren transparent darüber, was wir feststellen und was wir realistischerweise tun können.

Die Behebungsfristen hängen von der Schwere, der Komplexität und unseren Kapazitäten ab. Schwachstellen mit großer Auswirkung werden vorrangig behandelt. Die Aufnahme in die Hall of Fame bleibt unserem Ermessen überlassen und würdigt vor allem gültige oder wesentlich hilfreiche Meldungen.

Hall of Fame

Diese Forscher haben sich entschieden zu helfen, anstatt Schwachstellen auszunutzen. Wir sind ihnen sehr dankbar.