Sicherheitslücke melden

Du hast eine Sicherheitslücke in winku.de oder einem Winku-Dienst, -Programm, einer App oder der Wink-Mod gefunden? Danke, dass du sie meldest.

So meldest du sie

Schreib uns an [email protected]. Lücken auf Webseiten kannst du auch über Open Bug Bounty (öffnet in neuem Tab) melden.

Was in die Meldung gehört

Die betroffene Adresse oder das Programm bzw. die App samt Version
Die Schritte, mit denen wir es nachstellen können
Was man damit anstellen kann
Gern ein Screenshot oder Video

Du kannst auf Deutsch oder Englisch schreiben.

Was dazugehört

winku.de mit allen Subdomains, zum Beispiel smp.winku.de
vidono.de, relvia.de und clipgrind.de
Winku-Programme und Winku-Apps
Die Wink-Mod

Was nicht dazugehört

Dienste anderer, etwa Discord, Twitch, App Store, Google Play oder unsere Hoster
briseg.eu

Bitte nicht melden

Diese Dinge sind ohne echte Folgen kein Befund:

Fehlende Sicherheits-Header ohne nachweisbare Auswirkung
SPF, DKIM und DMARC
Clickjacking auf Seiten ohne Aktionen
Angezeigte Versionsnummern
Self-XSS
CSRF beim Abmelden
Ergebnisse automatischer Scanner ohne Nachweis

Regeln beim Testen

Teste nur mit eigenen Konten.
Sieh dir keine fremden Daten an, ändere, lösche oder behalte keine. Siehst du zufällig welche, hör auf und melde es.
Keine Last-Tests oder DoS, kein Spam, kein Phishing und kein Social Engineering gegen Nutzer oder das Team.
Keine Scanner, die spürbar Last erzeugen.
Veröffentliche die Lücke erst, wenn sie behoben ist oder seit deiner Meldung 90 Tage vergangen sind.

Was wir dir zusagen

Wir antworten innerhalb von 7 Tagen.
Wir sagen dir Bescheid, sobald die Lücke behoben ist.
Wer sich an diese Regeln hält, gegen den gehen wir nicht rechtlich vor.

Belohnung

Geld gibt es nicht. Mit deiner Erlaubnis nennen wir dich mit Namen (und Link) in der Hall of Fame auf dieser Seite. Bei ernsten Funden gibt es auf Wunsch ein kleines Dankeschön, etwa Guthaben in Wink.

Hall of Fame

Hier steht noch niemand. Wer die erste Lücke meldet, bekommt den ersten Eintrag.