Wenn du glaubst, ein Sicherheitsproblem in 50heads gefunden zu haben, möchten wir es wissen, vertraulich und zuerst von dir. Diese Seite erklärt, wie du meldest, was abgedeckt ist, was du von uns erwarten kannst und worum wir dich bitten. Es ist eine Richtlinie nach bestem Wissen und Gewissen, kein Vertrag und keine Rechtsberatung. Mehr dazu, wie wir 50heads schützen, steht auf der Sicherheitsseite.

So meldest du

Nutze das Kontaktformular und wähle Sicherheit. Es legt ein Ticket an, das unser Team sieht. Wir veröffentlichen kein Sicherheitspostfach; unsere security.txt nennt dasselbe Formular.

Schreib bitte nach Möglichkeit auf Englisch und nenne:

  • was du gefunden hast und wo (Adresse, Bildschirm oder Endpunkt);
  • die Schritte zum Nachstellen und was du gesehen hast;
  • was jemand deiner Einschätzung nach damit anstellen könnte;
  • wie wir dich erreichen und welchen Namen wir nennen sollen, falls wir uns bedanken.

Bitte gib im Formular keine Passwörter, Schlüssel, personenbezogenen Daten anderer oder Exploit-Dateien an. Wenn du etwas Sensibles schicken musst, sag es, dann vereinbaren wir einen Weg.

Was abgedeckt ist

  • 50heads.com, api.50heads.com, mcp.50heads.com und auth.50heads.com.
  • Die 50heads-Apps für iOS und Android.
  • Die Pakete, die wir veröffentlichen: @50heads/mcp und @50heads/cli.

Was nicht abgedeckt ist

  • Denial-of-Service- oder Lasttests und alles, was den Dienst für andere verschlechtert.
  • Social Engineering, Phishing oder physische Angriffe auf Mitarbeitende, Heads oder Auftraggeber.
  • Meldungen, die nur sagen, dass ein Sicherheits-Header, ein DNS-Eintrag oder eine E-Mail-Einstellung fehlt, ohne dass sich das ausnutzen lässt.
  • Funde in Diensten, auf die wir uns stützen, etwa Stripe, Wise, Cloudflare oder Resend. Melde sie bitte dem Anbieter.
  • Konten, Fragen oder Daten, die nicht dir gehören.

Worum wir dich bitten

  • Teste nur mit Konten, die dir gehören, und hör auf, sobald du gezeigt hast, dass das Problem besteht.
  • Lies, ändere, behalte oder teile keine Daten anderer. Wenn du auf solche stößt, hör auf, sag es uns und lösche sie.
  • Stör den Dienst nicht und bewege kein echtes Geld darüber.
  • Gib uns angemessene Zeit für die Behebung, bevor du es anderen erzählst. Wir vereinbaren ein Datum mit dir und wollen schwere Probleme schnell beheben.

Was du von uns erwarten kannst

  • Wir antworten auf jede Meldung.
  • Wir sagen dir, ob wir es für ein echtes Problem halten, und halten dich auf dem Laufenden, bis es behoben ist.
  • Wir verlangen keine Unterschrift, bevor wir deine Meldung ansehen.
  • Auf Wunsch danken wir dir mit Namen auf der Sicherheitsseite, sobald es behoben ist.

Sicherer Hafen

Wenn du diese Richtlinie befolgst und in gutem Glauben handelst, leiten wir wegen Recherchen, die innerhalb der Richtlinie bleiben, weder rechtliche Schritte gegen dich ein noch bitten wir die Polizei darum. Das sagen wir jedem, der uns nach deiner Meldung fragt.

Für andere können wir nicht sprechen. Diese Seite bindet keinen Dritten, dessen Systeme du berührt hast, keine Staatsanwaltschaft und keine Aufsichtsbehörde, und sie erlaubt dir nicht, gegen das Gesetz zu verstoßen. Wenn du unsicher bist, ob etwas erlaubt ist, frag uns vorher über das Formular.

Noch keine Prämie

Wir zahlen derzeit nichts für Meldungen. Das sagen wir lieber gleich, als dass du es später erfährst. Ändert sich das, steht es zuerst auf dieser Seite.