Banger Mail begrüßt Sicherheitsforschung in gutem Glauben. Wenn Sie glauben, eine Sicherheitslücke in Banger Mail gefunden zu haben, schreiben Sie an security@team.bangermail.com. Nennen Sie den betroffenen Host oder die Anwendung, die Schritte zur Reproduktion, die erwarteten Auswirkungen sowie Protokolle oder Screenshots, die uns helfen, das Problem zu verstehen. Wir veröffentlichen derzeit keinen PGP-Schlüssel; senden Sie bitte keine unnötigen Geheimnisse, personenbezogenen Daten oder Postfachinhalte.
So melden Sie ein Problem
Senden Sie nach Möglichkeit eine Meldung pro Problem. Geben Sie uns genügend Details, um das Verhalten sicher zu reproduzieren, und teilen Sie uns mit, ob das Problem Ihrer Ansicht nach aktiv ausgenutzt wird. Beenden Sie die Tests, sobald Sie genügend Nachweise haben, um die Sicherheitslücke zu belegen.
Geltungsbereich
Im Geltungsbereich liegen:
app.bangermail.com, die Banger-Web-App;api.bangermail.com, die Banger-API einschließlich des MCP-Servers unterapi.bangermail.com/mcpund seiner OAuth-Endpunkte;auth.muchbetterapps.com, der von Banger genutzte Anmeldedienst (er trägt unseren früheren Firmennamen);cloud.bangermail.com, das Google-Postfachverbindungen verwaltet; undbangermail.com, die öffentliche Website einschließlich ihrer kostenlosen Tools.
Besonders hilfreich sind Meldungen zu Authentifizierung, OAuth und Agentenautorisierung, API-Schlüsseln, MCP-Tool-Berechtigungen, Zugriffen zwischen Workspaces, E-Mail-Routing, Versand über die Domain eines anderen Kunden, Schutz von Postfachdaten oder offengelegten sensiblen Daten.
Außerhalb des Geltungsbereichs
Außerhalb des Geltungsbereichs liegen Denial-of-Service-Angriffe oder automatisierte Tests mit hohem Volumen, Social Engineering, physische Angriffe, Kontoübernahmen durch wiederverwendete Passwörter sowie Sicherheitslücken, die ausschließlich in Drittanbieterdiensten bestehen, die nicht von BangerMail Inc. betrieben werden. Versenden Sie keinen Spam, betreiben Sie kein Phishing oder Credential Stuffing, richten Sie keine dauerhaften Zugriffe ein, leiten Sie keine Daten aus und sehen Sie keine Daten ein, die über das zum Nachweis des Problems erforderliche Maß hinausgehen.
Frist für die Eingangsbestätigung
Wir bestätigen den Eingang von Meldungen innerhalb des Geltungsbereichs innerhalb von 3 Werktagen und können während der Untersuchung weitere Details anfordern. Wir priorisieren Meldungen anhand der wahrscheinlichen Auswirkungen auf Nutzer, der Ausnutzbarkeit und der Frage, ob das Problem offenbar Postfachdaten oder den Kontozugriff betrifft.
Rechtlicher Schutz für Forschende
Wir betrachten Forschung in gutem Glauben im Rahmen dieser Richtlinie als autorisiert. Wenn Sie innerhalb des Geltungsbereichs bleiben, Beeinträchtigungen der Privatsphäre und Betriebsstörungen vermeiden, versehentliche Zugriffe unverzüglich melden und keine Daten aufbewahren oder weitergeben, werden wir wegen dieser Forschung keine rechtlichen Schritte einleiten.
Koordinierte Offenlegung
Unsere Standardfrist für die koordinierte Offenlegung beträgt 90 Tage nach der Eingangsbestätigung, sofern wir nicht gemeinsam etwas anderes vereinbaren oder eine aktive Ausnutzung schnelleres Handeln erfordert. Dies ist kein vergütetes Bug-Bounty-Programm.