Sicherheitsrichtlinie

Wie wir deine Dateien schützen

Was wir mit dem tun, was du uns anvertraust:

• Ohne Verwahrung behalten wir deine Dateien nicht: Wir speichern nur ihren Fingerabdruck (SHA-256). Mit Sellat Local verlässt die Datei nicht einmal dein Gerät.
• Wenn du die Verwahrung aktivierst, verschlüsseln wir die Datei bei Sellat, bevor sie in den Speicher geht, mit einem eigenen Schlüssel für jede Datei (AES-256-GCM). Der Speicheranbieter in der Europäischen Union hält nur verschlüsselte Daten und kann sie nicht öffnen.
• Der Schlüssel, der sie öffnet, liegt auf unseren Servern, getrennt vom Speicher.
• Bei jedem Download eines Originals prüfen wir, dass sein Fingerabdruck zu deinem Nachweis passt. Wenn nicht, geben wir es nicht heraus.

So meldest du

Schreib an security@sellat.app – auf Katalanisch, Spanisch oder Englisch.

Damit wir es nachvollziehen und bewerten können, gib bitte an:

• Eine Beschreibung der Schwachstelle.
• Die Schritte, um sie zu reproduzieren.
• Die Auswirkung, die du vermutest.
• Die betroffene URL oder den betroffenen Endpunkt.

Unsere Zusage

Wenn wir deine Meldung erhalten:

• Bestätigen wir den Eingang innerhalb von 72 Stunden.
• Informieren wir dich mindestens alle 7 Tage über den Stand, bis sie abgeschlossen ist.
• Beheben wir das Problem in einer angemessenen Frist, je nach Schweregrad.
• Nennen wir dich auf Wunsch öffentlich im Abschnitt Danksagungen.

Safe Harbor

Wir werden keine rechtlichen Schritte gegen Personen einleiten, die in gutem Glauben forschen und diese Richtlinie einhalten.

Wenn du unsicher bist, ob ein Test erlaubt ist, frag uns vorher unter security@sellat.app.

Regeln

Während du forschst:

• Greif nicht auf Daten Dritter zu, verändere oder lösche sie nicht. Wenn du zufällig darauf stößt, hör auf und sag uns Bescheid.
• Keine Denial-of-Service-Angriffe (DoS), kein Spam, kein Social Engineering und keine physischen Angriffe.
• Verwende nur eigene Konten.
• Gib uns angemessen Zeit, das Problem zu beheben, bevor du es veröffentlichst.

Außerhalb des Umfangs

Folgendes behandeln wir nicht als Schwachstelle, außer du zeigst eine tatsächliche Auswirkung:

• Berichte automatischer Scanner ohne Nachweis einer Auswirkung.
• Fehlende Sicherheits-Header ohne mögliche Ausnutzung.
• Clickjacking auf Seiten ohne sensible Aktionen.
• SPF- oder DMARC-Konfiguration.
• Self-XSS.
• Ratenbegrenzungen auf nicht kritischen Endpunkten.

Belohnungen

Derzeit haben wir kein bezahltes Bug-Bounty-Programm. Was wir anbieten können, ist unser öffentlicher Dank, wenn du ihn möchtest.

Danksagungen

Personen, die uns eine Schwachstelle verantwortungsvoll gemeldet haben und hier genannt werden möchten.