Responsible Disclosure

Wir nehmen die Sicherheit von paddocks.plus ernst. Wenn Sie eine Schwachstelle entdecken, bitten wir um eine vertrauliche Meldung — bevor Details öffentlich werden.

Meldeweg

Bitte senden Sie Ihren Befund an security@paddocks.app. Beschreiben Sie reproduzierbare Schritte, betroffene URLs oder Endpunkte und — falls vorhanden — einen Proof-of-Concept.

Was wir zusagen

• Eingangsbestätigung innerhalb von 72 Stunden.
• Erste Einschätzung innerhalb von 7 Werktagen.
• Regelmäßige Status-Updates, bis die Lücke geschlossen ist.
• Auf Wunsch Nennung in den Release-Notes (Hall of Thanks).
• Keine rechtlichen Schritte gegen Forschende, die sich an diese Regeln halten.

Spielregeln

• Keine Tests gegen produktive Kundendaten — nutzen Sie eigene Test-Accounts.
• Keine Denial-of-Service-Angriffe, kein Social Engineering, kein Spam.
• Geben Sie uns angemessene Zeit zum Beheben, bevor Sie veröffentlichen.
• Keine Datenexfiltration über das für den Nachweis nötige Maß hinaus.

Out of Scope

• Fehlende Best-Practice-Header ohne konkreten Angriffsvektor.
• Self-XSS, Clickjacking ohne Sicherheitsauswirkung.
• Hinweise aus automatischen Scannern ohne praktische Ausnutzung.

Vielen Dank, dass Sie paddocks.plus sicherer machen.