Sicherheit
Sicherheitslücken melden
Kalibris verarbeitet Ernährungs- und Gewichtsdaten. Das sind sensible Daten, und wir behandeln sie so. Wenn Sie eine Sicherheitslücke gefunden haben, melden Sie sie uns bitte — wir sind für jeden Hinweis dankbar und gehen jedem nach.
So erreichen Sie uns
E-Mail an security@kalibris.app. Bitte beschreiben Sie den Fund so genau, dass wir ihn nachvollziehen können: betroffene Adresse oder Funktion, die Schritte zum Auslösen und die beobachtete Auswirkung.
Was wir zusagen
- Wir bestätigen den Eingang Ihrer Meldung innerhalb von fünf Werktagen.
- Wir melden uns mit einer ersten Einschätzung, sobald wir den Fund geprüft haben.
- Wir informieren Sie, wenn die Lücke geschlossen ist.
- Wir nennen Sie auf Wunsch als Finder:in, sobald die Lücke geschlossen ist — oder auf Wunsch ausdrücklich nicht.
- Wir ergreifen keine rechtlichen Schritte gegen Personen, die sich an die untenstehenden Regeln halten und uns die Möglichkeit geben, die Lücke zu schließen, bevor sie öffentlich wird.
Worum wir Sie bitten
- Geben Sie uns Gelegenheit, die Lücke zu schließen, bevor Sie sie veröffentlichen.
- Greifen Sie nicht auf Daten anderer Nutzer:innen zu, verändern oder löschen Sie keine Daten. Wenn ein Fund sich nur mit fremden Daten belegen lässt, beschreiben Sie den Weg — führen Sie ihn nicht aus.
- Verzichten Sie auf Tests, die den Betrieb stören: keine Lasttests, kein automatisiertes Durchprobieren von Zugangsdaten, kein Spam, kein Social Engineering gegenüber Personen.
- Legen Sie keine Zugänge auf fremde Namen an.
Was wir nicht anbieten
Wir zahlen keine Prämien für Meldungen. Kalibris ist ein junges Angebot einer sehr kleinen Organisation; wir sagen lieber nichts zu, als etwas zuzusagen, das wir nicht halten können.
Was für uns interessant ist
Zugriff auf Daten anderer Konten, Umgehung von Anmeldung oder Zwei-Faktor-Schutz, Übernahme von Konten, unbeabsichtigte Offenlegung von Daten, Schwachstellen in unseren Servern oder unserer Auslieferung.
Was für uns in der Regel nicht interessant ist
Meldungen aus reinen Scanner-Ausgaben ohne belegte Auswirkung, fehlende Härtungs-Header ohne nachweisbaren Angriffsweg, Hinweise auf theoretisch veraltete Software ohne Bezug zu einer konkreten, hier ausnutzbaren Schwachstelle, sowie Berichte zu Diensten, die uns nicht gehören.
So erkennen Sie echte Kalibris-Seiten
Kalibris läuft ausschließlich unter kalibris.app und dessen Subdomains — die Anwendung unter app.kalibris.app, die Website unter www.kalibris.app. Prüfen Sie die Adresszeile, bevor Sie Ihre Zugangsdaten eingeben.
Kalibris fragt Sie niemals nach Ihrem Passwort — weder per E-Mail noch per Telefon oder Nachricht. Wir fordern Sie auch nie per E-Mail auf, Zahlungsdaten zu hinterlegen.
Kalibris versendet derzeit überhaupt keine E-Mails an Nutzer:innen. Jede E-Mail, die vorgibt, von Kalibris zu stammen, ist deshalb bis auf Weiteres nicht von uns. Sollte sich das ändern, steht es hier.