Etwas gefunden? Safe Harbour, schriftlich.
Trustvice ist eine Compliance- und Trust-Plattform — die Latte, die wir unseren Kunden halten, halten wir uns selbst. Wenn Sie eine Schwachstelle finden, melden Sie sie in gutem Glauben an security@trustvice.com und Sie sind geschützt: ein definierter Scope, ein Response-SLA und ein koordiniertes 90-Tage-Fenster vor öffentlicher Disclosure. Diese Seite ist der menschenlesbare Begleiter zu /.well-known/security.txt.
Safe Harbour
Handeln Sie in gutem Glauben, und wir verfolgen Sie nicht.
Sicherheitsforschung unter dieser Policy ist autorisiert. Wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, und wir betrachten Ihre Tests als in gutem Stand unter anwendbarem Computer-Missbrauchs- und Anti-Umgehungsrecht, sofern Sie:
- Nur auf Daten und Konten zugreifen, die Ihre eigenen sind oder für die Sie ausdrückliche Testberechtigung haben.
- Nicht mehr Daten nehmen, als nötig ist, um das Problem zu zeigen, und Kundendaten, auf die Sie stoßen, niemals speichern, teilen oder nutzen.
- Den Dienst nicht degradieren, Daten nicht exfiltrieren und nicht zu Angriffen auf andere Kunden pivotieren.
- Uns eine angemessene Zeit (90 Tage) zur Behebung vor öffentlicher Disclosure geben und das Timing mit uns koordinieren.
- Alles anwendbare Recht einhalten.
Wenn ein Dritter rechtliche Schritte gegen Sie wegen einer Tätigkeit einleitet, die dieser Policy entsprach, werden wir bekannt machen, dass Ihre Handlungen autorisiert waren.
Wie Sie melden
Ein Postfach. Ein Mensch liest es.
Eine klare Beschreibung des Problems und seiner Sicherheitswirkung.
Schritt-für-Schritt-Reproduktion — Request/Response, URL, Konto-/Workspace-Kontext (nutzen Sie Ihren eigenen).
Das betroffene Asset (Host, Endpoint oder Surface) und den Testzeitpunkt (UTC).
Jeglichen Proof-of-Concept-Code oder Screenshots — auf das Minimum beschränkt, das nötig ist, um das Problem zu zeigen.
Scope
Was drin ist, was draußen.
Im Scope
- www.trustvice.com und die Marketing-Site
- app.trustvice.com — das Kunden-Dashboard
- api.trustvice.com — die Gateway- / agentic-API-Oberfläche
- ui.tve.world — der MCP-Apps-Bestätigungs-iframe-Origin (bewusst eine andere registrierbare Domain als trustvice.com, damit kein Session-Cookie sie erreicht)
- Die /.well-known/* Discovery- und kryptografischen Schlüssel-Endpoints
- Authentifizierung (WebAuthn / FIDO2, Magic Links) und Session-Handling
Außerhalb des Scopes
- Findings gegen unsere Sub-Processor (Cloudflare, Amazon Web Services, Stripe, Fraud-Provider) — melden Sie die dem Provider; sagen Sie uns, wenn eine Trustvice-Fehlkonfiguration die Ursache ist.
- Volumetrische / Denial-of-Service-, Brute-Force- oder Lasttests.
- Social Engineering von Personal oder Kunden und physische Angriffe.
- Best-Practice-Reports ohne nachgewiesene Wirkung (z. B. fehlender Header, SPF/DMARC-Nits, Versionsdisclosure) ohne konkreten Exploit.
- Spam, Self-XSS oder Issues, die ein vollständig kompromittiertes Opfergerät erfordern.
Was Sie von uns erwarten können
Einen Zeitplan, kein Vakuum.
Bestätigung innerhalb von 2 Geschäftstagen
Wir bestätigen den Eingang Ihres Reports und weisen eine Tracking-Referenz zu. Ein Mensch liest jeden Report, der an security@trustvice.com geht.
Triage + Severity innerhalb von 5 Geschäftstagen
Wir validieren, weisen eine Severity zu und teilen Ihnen unseren Remediation-Plan mit. Wir spiegeln die Dispute-SLA-Disziplin, die bereits auf /security veröffentlicht ist: kritisch 24 h · hoch 3 d · mittel 7 d · niedrig/info 14 d für die erste substanzielle Antwort.
Koordiniertes 90-Tage-Fenster
Wir bitten um bis zu 90 Tage zur Behebung vor öffentlicher Disclosure und halten Sie über den Fortschritt informiert. Wenn ein Fix länger braucht, vereinbaren wir eine Verlängerung mit Ihnen, statt ins Dunkle zu gehen.
Credit, wenn Sie es wollen
Mit Ihrer Erlaubnis nennen wir Sie namentlich oder per Handle, sobald ein Fix ausgeliefert ist. Trustvice ist pre-revenue und betreibt derzeit kein bezahltes Bounty — das ist ein Safe-Harbour- und Anerkennungsprogramm, klar gesagt.
Maschinenlesbar + weitere Lektüre
Trustvice 360Regeln festlegen. Jeden Lauf prüfen lassen.
Agenten, Nachweise, Governance, Handel und Offenlegung stecken in Trustvice 360. Kostenlos registrieren und alle Suiten in einem Dashboard öffnen.