报告安全漏洞

协调漏洞披露政策。最后更新：2026-10-08。

本页为译文，仅供参考；仅德文版和英文版具有约束力。

1. 目的

在 Frederich Engineering，安全优先于速度和功能。如果您在我们的任何产品或服务中发现安全漏洞，我们希望得知，以便尽快修复。本政策说明如何报告、您可以期待我们做什么，以及您在测试时须遵守的规则。

2. 适用范围

• Klarfeed Cloud（klarfeed.app）和 Klarfeed 网站（klarfeed.com）
• 密码生成器 Klarpass（klarpass.app）
• Frederich Engineering 销售或发布的软件（例如自托管的 Klarfeed）的当前版本
• 我们的公司网站 frederich-engineering.com

不在范围内：我们使用的第三方服务（例如 Stripe、Hetzner、我们的电子邮件服务商）——请直接向其报告——以及在 Klarfeed 中显示的第三方订阅源和网站。

3. 如何报告

请发送电子邮件至 security@frederich-engineering.com，最好包含：

• 受影响的产品或服务及其版本或 URL；
• 漏洞及其影响的描述；
• 复现步骤（概念验证）；
• 如希望署名致谢，请提供您的姓名或昵称。

请使用德语或英语撰写。请使用我们的 PGP 公钥（RSA 4096，有效期至 2027-06-30）加密敏感细节，指纹：
2D28 1AA4 8156 6C99 B747 6DEB 7E91 8184 7FC9 FEFE

4. 您可以期待我们做什么

我们是一家小公司，只承诺我们能做到的事：

• 确认收到：3 个工作日内。
• 初步评估（已确认 / 无法复现 / 不属于安全问题）：10 个工作日内。
• 我们会随时告知您修复进展。
• 修复：严重漏洞尽快修复；所有已确认漏洞的修复目标最长为 90 天。
• 公开披露：与您协调；默认在修复之后，最迟在您报告后 90 天，除非另有约定。如您愿意，我们会将您列为发现者致谢。
• 在适当情况下，我们会申请 CVE 编号。
• 我们履行法定报告义务，尤其是欧盟《网络弹性法案》（Cyber Resilience Act）规定的义务。

我们目前不支付奖励（没有漏洞赏金计划）。

5. 测试规则与我们的承诺

如果您本着善意行事并遵守以下规则，我们不会对您提起刑事告诉，也不会对您采取民事法律行动。我们无法代表第三方（例如政府机关）表态，但应您的要求，我们会确认您的测试符合本政策。

• 仅使用您自己的账户和数据进行测试。如需测试 Klarfeed Cloud，可以向我们申请测试账户。
• 不要访问其他用户的数据。如果仍然接触到：请立即停止，不要保存或分享，并告知我们。
• 不得进行影响服务的测试（拒绝服务、负载测试、大量请求、垃圾信息）。
• 不得进行社会工程、网络钓鱼或物理接触；不得攻击我们的员工、服务提供商或托管商。
• 利用漏洞仅限于证明其存在所必需的程度；不得植入后门，不得做持久性更改。
• 仅在与我们协调后公开细节（见第 4 节）。

6. 我们通常不视为漏洞的情况

• 没有证明实际影响的自动扫描器报告
• 缺少安全标头或 Cookie 标志，但没有具体的攻击方式
• Self-XSS；在不含安全相关操作的页面上的点击劫持
• 有关 SPF/DKIM/DMARC 的提示、横幅和版本信息
• 纯粹依靠流量的拒绝服务
• 需要已被攻陷的设备或物理接触才能实施的攻击

如有疑问，仍请报告。