Unsere Verpflichtung
Der Schutz der Gelder und Daten unserer Kunden steht im Mittelpunkt unserer Arbeit. Wir begrüßen Meldungen von Sicherheitsforschenden und Kunden, die eine Schwachstelle in unseren Systemen finden, und arbeiten mit Ihnen zusammen, um sie zu verstehen und zu beheben. Diese Richtlinie erklärt, was Sie testen dürfen, wie Sie sicher testen und wie Sie Ihre Funde melden.
Im Geltungsbereich
- Öffentliche Websites unter
*.localpayment.com, einschließlich localpayment.com. - Die Localpayment-API: Produktion (api.v3.localpayment.com) und Stage (api.stage.localpayment.com).
- Das Business Portal (ui.v3.localpayment.com).
Testen Sie nur mit Konten und Zugangsdaten, zu deren Nutzung Sie berechtigt sind. Wenn Sie Localpayment-Kunde sind, testen Sie in Ihrer Stage-Umgebung statt in der Produktion. Einige *.localpayment.com-Subdomains werden von Drittanbietern betrieben; betrifft eine Meldung eine davon, stimmen wir uns mit dem Anbieter ab.
Außerhalb des Geltungsbereichs
- Denial-of-Service-Angriffe, Last- oder Stresstests und jegliche Tests, die den Service für andere beeinträchtigen.
- Social Engineering, Phishing oder physische Versuche gegen unsere Mitarbeitenden, Büros, Kunden oder Partner.
- Von Dritten betriebene Services wie Banken, Kartennetzwerke, lokale Zahlungsnetze oder unser unabhängiger Ethikkanal. Melden Sie solche Probleme dem jeweiligen Anbieter.
- Befunde ohne nachweisbare Sicherheitsauswirkung, etwa fehlende Security-Header oder Cookie-Flags für sich genommen, Versionsbanner, Clickjacking auf Seiten ohne sensible Aktionen, Self-XSS, Logout-CSRF oder ungeprüfte Ergebnisse automatisierter Scanner.
- Meldungen zur E-Mail-Konfiguration (SPF, DKIM, DMARC) ohne funktionierenden Exploit.
Spielregeln
- Kein Denial of Service. Führen Sie keine Tests durch, die unsere Services stören oder beeinträchtigen könnten, und halten Sie automatisierte Scans auf niedriger Frequenz.
- Kein Social Engineering. Nehmen Sie keine Personen – Mitarbeitende, Kunden oder Partner – durch Phishing, Pretexting oder andere Mittel ins Visier.
- Keine Datenexfiltration. Greifen Sie nur auf die minimal nötigen Daten zu, um das Problem nachzuweisen. Laden Sie keine Daten herunter, kopieren, behalten, ändern oder löschen Sie sie nicht. Stoßen Sie auf personenbezogene Daten, Karteninhaberdaten oder Zugangsdaten, brechen Sie ab und melden Sie dies umgehend.
- Beim Nachweis aufhören. Sobald Sie eine Schwachstelle bestätigt haben, hören Sie auf. Erweitern Sie keine Berechtigungen, bewegen Sie sich nicht lateral, richten Sie keine Persistenz ein und verketten Sie keine weiteren Angriffe ohne unsere schriftliche Zustimmung.
- Keine echten Transaktionen. Bewegen Sie niemals Gelder, erstellen Sie keine echten Zahlungen oder Auszahlungen und interagieren Sie nicht mit Konten, die Ihnen nicht gehören.
- Vertraulichkeit wahren. Teilen Sie Details des Problems mit niemandem, bis wir es behoben und die Offenlegung mit Ihnen abgestimmt haben.
- In gutem Glauben und rechtmäßig handeln. Machen Sie Ihre Meldung nicht von einer Zahlung oder einer anderen Forderung abhängig.
So melden Sie
Schreiben Sie an cybersecurity@localpayment.com mit dem Betreff „Vulnerability report“ und einem kurzen Titel. Wir lesen Meldungen auf Englisch, Spanisch und Portugiesisch. Bitte geben Sie Folgendes an:
- Das betroffene Asset: URL, API-Endpunkt, Parameter oder Ansicht im Business Portal.
- Die Art der Schwachstelle und ihre möglichen Auswirkungen.
- Eine Schritt-für-Schritt-Anleitung zur Reproduktion.
- Einen Proof of Concept – Requests und Responses, Screenshots oder ein kurzes Video –, bei dem personenbezogene oder sensible Daten geschwärzt sind.
- Datum und Uhrzeit Ihrer Tests sowie die verwendeten IP-Adressen, damit wir Ihre Aktivität in unseren Logs zuordnen können.
- Ihren Namen oder Ihr Pseudonym, Ihre Kontaktdaten und ob Sie namentlich genannt werden möchten.
Fügen Sie Ihrer Meldung niemals echte Kartennummern, Passwörter oder personenbezogene Daten anderer bei. Beschreiben Sie sie stattdessen.
Was Sie erwarten können
- Eingangsbestätigung. Wir bestätigen den Eingang Ihrer Meldung zeitnah.
- Bewertung. Unser Sicherheitsteam validiert das Problem, bewertet seinen Schweregrad und bittet Sie gegebenenfalls um weitere Details.
- Updates. Wir halten Sie über den Fortschritt auf dem Laufenden und informieren Sie, sobald das Problem behoben ist.
- Behebung. Wir priorisieren Korrekturen nach dem Risiko, das sie für unsere Kunden und deren Daten darstellen.
- Koordinierte Offenlegung. Wenn Sie Ihre Ergebnisse veröffentlichen möchten, stimmen wir den Zeitpunkt mit Ihnen ab, sobald eine Korrektur umgesetzt ist. Mit Ihrer Erlaubnis würdigen wir Ihren Beitrag gern.
Safe Harbor
Localpayment wird keine rechtlichen Schritte gegen Forschende einleiten, die Schwachstellen in gutem Glauben und im Einklang mit dieser Richtlinie entdecken und melden.
Maschinenlesbarer Kontakt (security.txt)
Unsere Sicherheitskontaktdaten sind zusätzlich in maschinenlesbarer Form gemäß RFC 9116 unter https://localpayment.com/.well-known/security.txt veröffentlicht.
Sonstige Anliegen
- Verdacht auf Betrug oder ein Problem mit Ihrem Konto oder einer Transaktion: support@localpayment.com, rund um die Uhr erreichbar.
- Ethische Anliegen oder Fehlverhalten: unser unabhängiger Ethikkanal.