Bug Bounty

Bugs finden, Prämien kassieren.

1.000 €Höchstprämie

Ich habe etwas zu melden

Auszahlung innerhalb von 2 WerktagenKeine Registrierung nötigBis zu 1.000 € pro Meldung

Wonach wir suchen

E-Mails, Telefonnummern oder Dienstinfos von Kunden

Jeder Zugriff auf Konfigurationen oder Daten, die nicht erreichbar sein sollten.

Ausführung beliebigen Codes

Ausführen von nicht autorisiertem Code auf unserer Infrastruktur oder unseren Panels.

Kritische Aktionen auf Kunden-VPS

Löschen, Neuinstallation oder jede andere unzulässige Interaktion mit Diensten und Kunden.

und andere Wege, an Kundendaten zu gelangen.

Geltungsbereich des Programms

Alles, was die Vertraulichkeit, Integrität oder Verfügbarkeit der Daten unserer Kunden oder unserer Produktivsysteme beeinträchtigt, fällt in den Geltungsbereich.

Im Geltungsbereich

fusiora.com und alle produktiven Subdomains
Kundenbereich (my.fusiora.com) und Admin-Panel
Öffentliche APIs (api.fusiora.com) und Identitäts- / SSO-Abläufe
Authentifizierung, Autorisierung und Sitzungsverwaltung
Bereitstellung von VPS / Bare-Metal, Abrechnung und Kontingentlogik
Von Fusiora betriebene, aus dem Internet erreichbare Infrastruktur

Außerhalb des Geltungsbereichs

Volumetrische DoS- / DDoS-Angriffe, Brute Force oder Lasttests
Ergebnisse automatisierter Scanner ohne funktionierenden Proof of Concept
Best-Practice-Hinweise ohne Auswirkung (z. B. fehlende Header, SPF/DMARC)
Schwachstellen in Diensten Dritter, die wir nicht betreiben

Verhaltensregeln

Hilf uns, unsere Kunden zu schützen, indem du dich bei deiner Recherche an diese Richtlinien hältst.

Das solltest du tun

Liefere klare Schritte zur Reproduktion und einen Proof of Concept
Teste ausschließlich mit deinen eigenen Konten und Ressourcen
Melde Probleme, sobald du sie entdeckst
Beschränke den Datenzugriff auf das Minimum, das zum Nachweis der Auswirkung nötig ist
Gib uns angemessen Zeit für die Behebung, bevor du etwas offenlegst

Das solltest du lassen

Auf Daten anderer Nutzer zugreifen, sie ändern oder löschen
DoS- / DDoS-Angriffe starten oder Spam versenden
Automatisierte Scans einsetzen, die unsere Dienste beeinträchtigen
Eine Schwachstelle öffentlich machen, bevor sie behoben ist

Safe Harbor

Sicherheitsforschung, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt wird, betrachten wir als autorisiert. Gegen Forschende, die diese Regeln einhalten, werden wir keine rechtlichen Schritte einleiten. Wenn du unsicher bist, ob etwas erlaubt ist, frag uns vorher unter info@fusiora.com.

Tabelle der Funde und Prämien

FundSchweregradPrämie

Remote Code Execution (RCE)

Kritisch400 € – 1.000 €

Zugriff auf lokale Dateien und mehr

Hoch150 € – 700 €

SQL-Injection

Hoch150 € – 700 €

IDORs / Offenlegung sensibler Informationen / Speicherlecks

Mittel30 € – 500 €

Nicht kritische Backend-Bugs(nur neue Bugs werden bezahlt)

Niedrig5 € – 10 €

Andere gefundene Schwachstellen

Variiertje nach Kritikalität

Auszahlung

Die Auszahlung erfolgt innerhalb von zwei Werktagen nach Entdeckung und Verifizierung einer Schwachstelle. Die Prämie wird dem Bonusguthaben deines Fusiora-Kontos gutgeschrieben, von dem bis zu 50 % des Betrags ausgezahlt werden können.