Sicherheit und Meldung von Schwachstellen

Im Geltungsbereich

• Die öffentliche Website und das Dashboard von Legal (Konten, Abos, Wallet, Nachrichten).
• Die API von Legal: Zugriffskontrolle, Zugriff auf kostenpflichtige Inhalte, Offenlegung von Daten anderer Konten.
• Die Altersprüfung, die Authentifizierung (2FA, Passkeys) und der Schutz der Medien.

Außerhalb des Geltungsbereichs

• Dienste Dritter (Hoster, Zahlungsdienstleister, Anbieter der Altersprüfung): melde sie direkt an deren Betreiber.
• Denial-of-Service, Spam, Social Engineering und physische Angriffe.
• Ergebnisse automatischer Scanner ohne nachgewiesene Auswirkung und fehlende Best Practices ohne belegte Folgen.

• Verwende nur deine eigenen Testkonten. Greife nicht auf Daten anderer Personen zu, ändere sie nicht und kopiere sie nicht über das hinaus, was die Schwachstelle belegt.
• Stößt du auf personenbezogene Daten oder sensible Inhalte, höre auf, speichere sie nicht und melde es uns sofort.
• Keine Denial-of-Service-Angriffe, Lasttests, kein Social Engineering und keine Angriffe auf unser Team, unsere Creatorinnen oder unsere Mitglieder.
• Halte die Schwachstelle bis zur Behebung geheim: keine Veröffentlichung, bevor wir sie behoben oder ein Datum mit dir vereinbart haben.
• Eine Meldung pro Schwachstelle, mit den Schritten zur Reproduktion. Duplikate werden mit Dank bedacht, aber nicht prämiert.

Wenn du diese Regeln einhältst und in gutem Glauben handelst, gehen wir wegen dieser Recherchen nicht gegen dich vor und zeigen dich nicht bei Behörden an. Auf Wunsch sorgen wir dafür, dass deine Arbeit gewürdigt wird.

Die Schwere wird mit einer vereinfachten Version des CVSS-3.1-Scores bewertet. Die Beträge unten sind Richtwerte: Das Team legt die Prämie nach der tatsächlichen Auswirkung fest und zahlt sie selbst aus, außerhalb der Plattform. Es wird nichts automatisch ausgezahlt.

• Du erhältst eine Verfolgungsnummer und einen geheimen Code: Damit verfolgst du den Stand und hängst Dateien an.
• Eine Person aus dem Team prüft deine Meldung, bewertet die Schwere und antwortet dir auf der Verfolgungsseite.
• Sobald die Schwachstelle behoben ist, sagen wir dir Bescheid und nennen, wenn du einverstanden bist, deinen Namen in den Danksagungen.

Du kannst auch an security@legalsexe.com schreiben. Die Datei security.txt dieser Website (RFC 9116) enthält dieselben Angaben für automatische Werkzeuge.