Sicherheitslücke melden

NUVEI-PROGRAMM ZUR OFFENLEGUNG VON SICHERHEITSLÜCKEN

Wenn Sie glauben, dass Sie eine Sicherheitslücke in den Produkten oder Websites von Nuvei oder einer seiner Tochtergesellschaften entdeckt haben, lesen Sie bitte weiter, um zu erfahren, wie Sie eine Meldung an unsere Sicherheitsteams zur Untersuchung vornehmen können.

Obwohl wir Meldungen der Community zu Sicherheitsproblemen sehr schätzen, bietet Nuvei derzeit keine finanzielle Entschädigung für automatisierte Meldungen zu Sicherheitslücken.

Alle Sicherheitslücken, die nachweislich die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationen über unsere Kunden und unsere Geheimnisse beeinträchtigen, könnten für eine Entschädigung in Betracht gezogen werden.

Jede Sicherheitslücke oder potenzielle Sicherheitslücke, die Sie entdecken, darf nicht öffentlich gemacht oder an Dritte weitergegeben werden.

VORAUSSETZUNGEN

• Bei allen Sicherheitslücken muss es sich um neue Entdeckungen handeln, die Nuvei bisher nicht bekannt waren.
• Die Person, die die Meldung vornimmt, darf nicht in einem Land wohnen, das auf einer kanadischen oder US-amerikanischen Sanktionsliste steht.

VERBOTENE TESTS

Die folgenden Tests sind verboten und werden den zuständigen Behörden gemeldet.

Automatisierte Tests jeglicher Art, einschließlich, aber nicht beschränkt auf:

• Rohe Gewalt
• Scanning durch SSL Labs
• ASV-Scanning durch Dritte
• Dienstleistungsverhinderung

Versuchen Sie nicht, eine nachträgliche Nutzung vorzunehmen, einschließlich der Änderung oder Zerstörung von Daten und der Unterbrechung oder Beeinträchtigung der Nuvei-Dienste.

Versuchen Sie nicht, Mitarbeiter oder Kunden von Nuvei durch Methoden des Social Engineering oder Phishing oder physisch anzugreifen.

AUSSERHALB DES GELTUNGSBEREICHS

Zu den nicht qualifizierten Sicherheitslücken gehören unter anderem:

• Social Engineering, Phishing
• Physische Angriffe
• Fehlende Cookie Flags
• Content Spoofing
• Stack Traces, Pfadoffenlegung, Verzeichnisauflistungen
• Möglichkeit, externe Links zu erstellen
• CSRF mit minimalen Sicherheitsauswirkungen
• Client-seitige Durchsetzung der Server-seitigen Sicherheit
• E-Mail-Spoofing
• Clickjacking auf statischer Website
• Einstellungen für Good Practices
• DOS/DDOS
• Konfiguration von SPF-Einträgen
• Schwache Passwortrichtlinie
• Best Practices für SSL/TLS

‍