Richtlinie zur Offenlegung
Was wir bearbeiten, was nicht, und was mit Ihrer Meldung geschieht.
Geltungsbereich
Diese Richtlinie gilt ausschliesslich für Websites, deren Datei /.well-known/security.txt auf diese Seite verweist.
Nicht abgedeckt sind: E-Mail, Netzwerke, Arbeitsplätze und interne Systeme der Eigentümer dieser Websites sowie Dienste Dritter (Hosting-Anbieter, CDN, SaaS-Tools, soziale Netzwerke). Meldungen ausserhalb des Geltungsbereichs werden nicht bearbeitet.
Regeln
- Kein Denial of Service, keine Lasttests und keine massenhaften automatisierten Scans.
- Kein Social Engineering, kein Phishing und kein physisches Eindringen.
- Greifen Sie nur so weit auf Daten zu, wie es für den Nachweis der Schwachstelle unbedingt nötig ist; verändern oder löschen Sie keine Daten.
- Veröffentlichen Sie die Schwachstelle nicht, bevor sie behoben ist.
Diese Richtlinie stellt keine Erlaubnis dar, die betroffenen Systeme zu testen. WNG SA ist nicht Eigentümerin der Websites ihrer Kunden und kann in deren Namen keine rechtlichen Zusagen machen.
Keine Belohnung
Es gibt kein Bug-Bounty-Programm. Meldungen werden unabhängig von ihrem Schweregrad nicht vergütet. Zahlungsforderungen bleiben unbeantwortet.
Nicht berücksichtigte Meldungen
- Fehlende HTTP-Sicherheitsheader ohne nachgewiesene Ausnutzung.
- Konfiguration von SPF, DKIM, DMARC oder DNSSEC.
- Offenlegung von Softwareversionen oder Bannern.
- TLS-Konfiguration (Cipher Suites, Protokollversionen) ohne praktikablen Angriff.
- Clickjacking auf Seiten ohne sensible Aktionen, Self-XSS, CSRF beim Logout.
- Fehlendes Rate Limiting, Benutzer-Enumeration ohne nachgewiesene Auswirkung.
- Rohe Ergebnisse automatischer Scanner ohne manuelle Überprüfung.
Bearbeitung
Jede Meldung innerhalb des Geltungsbereichs wird vom technischen Team von WNG SA geprüft. Wir melden uns nur, wenn Rückfragen nötig sind und Sie eine E-Mail-Adresse angegeben haben. Es wird keine Frist für Antwort oder Behebung zugesichert.
Datenschutz
Der Inhalt des Formulars wird per E-Mail an WNG SA (Schweiz) übermittelt und nicht auf diesem Server gespeichert. Ihre IP-Adresse wird der Meldung nicht beigefügt; sie wird in gehashter Form während höchstens einer Stunde verwendet, um Missbrauch zu begrenzen. Name und E-Mail-Adresse sind freiwillig und dienen ausschliesslich der Bearbeitung der Meldung.
Diese Website verwendet ein einziges, technisches Session-Cookie (Schutz des Formulars, Sprache). Keine Reichweitenmessung, keine von Dritten geladenen Ressourcen.