01Geltungsbereich

Diese Richtlinie gilt für https://skalvar.de und die dort ausgelieferten Inhalte. Subdomains sind nicht eingeschlossen. Unsere Produkte werden unter eigenen Domains betrieben und haben eigene Meldewege.

02Was wir erwarten

Wir nehmen Meldungen entgegen, laden aber nicht zu aktiven Tests ein. Diese Seite erteilt keine Erlaubnis, unsere Systeme zu prüfen, und nichts darin ist als solche zu lesen. Bitte beschränken Sie sich auf das, was zum Nachweis nötig ist.

• Keine Zugriffe auf Daten Dritter, keine Veränderung fremder Daten.
• Keine Maßnahmen, die den Betrieb beeinträchtigen: kein Lasttest, kein Denial of Service, kein Spam.
• Kein automatisiertes Scannen, kein Fuzzing, kein Durchprobieren von Zugangsdaten.
• Keine Veröffentlichung von Details, bevor die Schwachstelle behoben ist oder wir uns gemeinsam auf einen Termin geeinigt haben.

Wer sich daran hält und einen Fund in gutem Glauben meldet, hat von uns nichts zu befürchten.

03Was in eine Meldung gehört

• Das betroffene System oder die betroffene Adresse.
• Die Art der Schwachstelle.
• Eine Beschreibung, die ausreicht, um das Verhalten nachzuvollziehen.
• Die Schritte, mit denen sich das wiederholen lässt.
• Wie wir Sie erreichen.

Ein Nachweis der Ausnutzbarkeit wird nicht verlangt. Eine Meldung ohne Exploit ist uns genauso willkommen.

04Was Sie von uns erwarten können

Eingang bestätigt

48 Stunden

Danach Statusmeldung alle

30 Tage

Wir sagen Ihnen, wie wir die Meldung einschätzen, auch wenn wir sie nicht als Schwachstelle werten. Wir nennen Sie auf Wunsch als Finder, sobald die Sache behoben ist. Wenn eine Frist nicht zu halten ist, sagen wir das, bevor sie abläuft.

05Kontakt

info@skalvar.de

Skalvar Technologies UG (haftungsbeschränkt), Alter Holzhafen 15, 23966 Wismar

06Maschinenlesbare Fassung

Dieselben Angaben gibt es als cvd-policy.json im CVD-Policy-Format nach draft-behring-cvd-policy-00. Zu finden ist die Datei über das Feld CVD-Policy in unserer security.txt.

01Scope

This policy covers https://skalvar.de and the content served from it. Subdomains are not included. Our products run under their own domains and have their own reporting channels.

02What we ask

We accept reports, but we do not invite active testing. This page grants no permission to test our systems and nothing in it should be read as such. Please keep to what is needed to demonstrate the issue.

• Do not access third-party data and do not alter data that is not yours.
• Do nothing that degrades the service: no load testing, no denial of service, no spam.
• No automated scanning, no fuzzing, no credential testing.
• Do not publish details before the issue is fixed or we have agreed a date together.

Keep to that and report a finding in good faith, and you have nothing to fear from us.

03What belongs in a report

• The affected asset or address.
• The type of vulnerability.
• A description sufficient to follow the behaviour.
• The steps that reproduce it.
• How to reach you.

Proof of exploitation is not required. A report without an exploit is just as welcome.

04What you can expect from us

Receipt acknowledged

48 hours

Then a status update every

30 days

We tell you how we assess the report, including when we do not treat it as a vulnerability. We credit you as the finder on request once the issue is resolved. If a deadline cannot be met, we say so before it passes.

05Contact

info@skalvar.de

Skalvar Technologies UG (haftungsbeschränkt), Alter Holzhafen 15, 23966 Wismar, Germany

06Machine-readable version

The same statement is published as cvd-policy.json in the CVD Policy format, following draft-behring-cvd-policy-00. You can find it through the CVD-Policy field in our security.txt.