So meldest du
Schick deine Meldung an support@rekomi.com. Verschlüsselte Meldungen sind willkommen (PGP-Schlüssel auf Anfrage).
- Schritte zum Nachstellen.
- Auswirkung: Was könnte ein Angreifer tun?
- Betroffene Komponente (API-Endpunkt, Frontend-Route, Webhook usw.).
- Dein Handle, wenn du öffentlich genannt werden möchtest.
Was im Scope ist
- rekomi.com und api.rekomi.com.
- Trennung zwischen Kunden (Zugriff auf Daten anderer Kunden).
- Signaturprüfung der Stripe-Webhooks, Signaturprüfung der S2S-API.
- Authentifizierungs- und Autorisierungspfade.
- Verwaltung und Rotation von API-Schlüsseln.
- Cookie-Verarbeitung und Sitzungsverwaltung.
- Prompt-Injection oder Datenabfluss beim KI-Co-Piloten.
Was nicht im Scope ist
- Dienste Dritter (Stripe, Clerk, Cloudflare, Anthropic): bitte direkt an diese Anbieter melden.
- Self-XSS, fehlende Security-Header auf der Docs-Website.
- Befunde, die physischen Zugang erfordern.
- Social Engineering gegen Mitarbeiter.
Safe Harbor
Forschung in gutem Glauben innerhalb des Scopes führt weder zu rechtlichen Schritten noch zur Sperrung des Kontos. Greife nicht auf die Daten anderer Kunden zu, ziehe keine Daten ab und störe den Dienst nicht.
Nennung der Forschenden
Für gültige Meldungen nennen wir Forschende (mit Einverständnis) öffentlich auf dieser Seite. Ein formelles Bug-Bounty-Programm steht auf der Roadmap.