Bug-Bounty-Programm

DMarketplace ist ein Marktplatz für Gutscheine, eSIMs, digitale und physische Produkte, die mit Krypto bezahlt werden. Kunden kaufen in unseren Shops, Händler verkaufen über das Händler-Panel, und unsere API verarbeitet Bestellungen, Zahlungen, die Auslieferung der Codes und den Versand physischer Produkte.

Mit diesem Programm belohnen wir Sicherheitsforscher, die uns Lücken in diesen Diensten melden, bevor sie jemand ausnutzt: bis zu 200 USD in $DMP für jede gültige Meldung.

Schweregrade

Wir stufen jede gültige Meldung nach Auswirkung und Wahrscheinlichkeit ein, damit wir die schwersten Lücken zuerst beheben. Die Höhe der Belohnung, bis zu 200 USD in $DMP pro Meldung, richtet sich nach der Schwere und der Qualität der Meldung.

Für die Einstufung zählen unter anderem: wie viel Geld oder wie viele Daten betroffen sind, wie viele Nutzer betroffen sind, ob ein Angreifer ein eigenes Konto oder besondere Rechte braucht und wie aufwendig der Angriff ist.

Belohnung

Wir zahlen bis zu 200 USD in $DMP für jede gültige Meldung, je nach Schwere und Qualität der Meldung. Eine Meldung ist gültig, wenn sie eine Sicherheitslücke im Geltungsbereich beschreibt, die uns noch nicht bekannt war, wenn wir sie mit deinen Schritten oder deinem Proof of Concept nachvollziehen können und wenn du dich an die Regeln auf dieser Seite gehalten hast.

• Beschreiben mehrere Meldungen dieselbe Lücke, erhält nur die erste vollständige Meldung die Belohnung. Mehrere Lücken mit derselben Ursache zählen als eine Meldung.
• Ob eine Meldung gültig, im Geltungsbereich oder ein Duplikat ist, entscheiden wir. Unsere Entscheidung teilen wir dir per E-Mail mit.
• Wir zahlen in $DMP, unserem Token im Ethereum-Mainnet (siehe /our-token): DMP im Wert von bis zu 200 USD zum DMP-Kurs am Tag der Auszahlung. Wir überweisen, nachdem wir die Lücke bestätigt haben, an eine Ethereum-Wallet, die du uns nennst.
• Wo das Gesetz eine Zahlung nicht erlaubt, etwa wegen Sanktionen, können wir nicht zahlen. Mitarbeiter und Auftragnehmer von dMarketplace Inc. sind ausgeschlossen.
• Wer gegen die Regeln auf dieser Seite verstößt oder eine Lücke vorzeitig veröffentlicht, erhält keine Belohnung.

Geltungsbereich

Diese Richtlinie gilt für folgende Dienste der dMarketplace Inc.:

• unsere Shops unter dmarketplace.ai, dmarketplace.de und dmarketplace.co.uk
• unsere API unter api.dmarketplace.ai
• das Händler-Panel unter merchants.dmarketplace.ai
• unser Admin-Panel

Nicht im Geltungsbereich

Folgendes wird nicht belohnt:

• Dienste Dritter, die wir nutzen – etwa die Zahlungsseite von Request Network, Wallet-Apps oder Gutscheinaussteller und deren Einlöseseiten –, gehören nicht dazu. Schwachstellen dort meldest du bitte dem jeweiligen Anbieter.
• Lücken, die uns schon bekannt sind oder die jemand anderes bereits gemeldet hat
• Theoretische Lücken ohne funktionierenden Proof of Concept und Ausgaben automatischer Scanner ohne nachgewiesene, nachvollziehbare Auswirkung
• Inhalts- und Tippfehler oder veraltete Texte
• Manipulationen, die nur die Anzeige in deinem eigenen Browser ändern und weder auf unseren Servern noch bei Daten anderer Nutzer etwas bewirken
• Fehlende Sicherheits-Header, Cookie-Attribute, SPF-, DKIM- oder DMARC-Einträge und andere Best Practices ohne nachgewiesene Auswirkung
• Self-XSS, Clickjacking auf Seiten ohne sensible Aktionen und CSRF beim Abmelden
• Tests der Rate-Limits sowie Last- und Denial-of-Service-Tests
• Social Engineering (zum Beispiel Phishing) gegenüber unserem Team, Händlern oder Kunden
• Angriffe, die physischen Zugriff auf ein Gerät oder ein bereits kompromittiertes Gerät, Konto oder Wallet voraussetzen
• Lücken in Blockchains, Wallets oder Smart Contracts Dritter

Regeln für Tests

Wenn du unsere Dienste untersuchst, halte dich bitte an diese Regeln:

• Nutze nur Konten und Daten, die dir gehören. Rufe keine Daten anderer Personen ab und verändere oder lösche sie nicht. Stößt du versehentlich auf fremde Daten, hör auf, speichere oder teile sie nicht und erwähne es in deiner Meldung.
• Störe unsere Dienste nicht und beeinträchtige sie nicht für andere, etwa durch Lasttests, Massenanfragen oder Spam.
• Geh nur so weit, wie es für den Nachweis nötig ist, und nutze eine Lücke nicht weiter aus, zum Beispiel um Gutscheincodes oder Geld zu erlangen.
• Behandle deine Erkenntnisse vertraulich, bis die Lücke behoben ist.

Verbotene Handlungen

Folgendes ist ausdrücklich verboten:

• Versuche, auf private Daten anderer Nutzer zuzugreifen
• Social Engineering oder Phishing
• Denial-of-Service-Angriffe, Lasttests und Spam
• Angriffe auf die Infrastruktur unserer Anbieter, etwa Google Cloud oder Cloudflare
• Eine Lücke über den Nachweis hinaus ausnutzen, etwa Codes einlösen oder Geld behalten
• Tests, die gegen geltendes Recht verstoßen
• Drohungen oder Forderungen, zum Beispiel eine Zahlung als Bedingung für die Meldung

Veröffentlichung

Melde Lücken nur per E-Mail an uns und veröffentliche sie erst, wenn

• wir die Lücke bestätigt haben,
• die Lücke behoben ist und
• wir der Veröffentlichung ausdrücklich zugestimmt haben.

Für Forschung im Rahmen dieses Programms gilt unsere Safe-Harbor-Erklärung unter /security.

So meldest du eine Lücke

Schick deine Meldung per E-Mail an [email protected]. Bitte gib dabei an:

• die betroffene URL, Seite oder API-Schnittstelle
• eine Beschreibung der Lücke und ihrer möglichen Auswirkungen
• die Schritte zum Nachvollziehen, zum Beispiel Anfragen, Screenshots oder ein kurzes Video
• wann du getestet hast und welches eigene Konto du dabei genutzt hast, falls zutreffend
• einen Proof of Concept mit Anleitung, wie wir ihn ausführen

Bitte füge keine personenbezogenen Daten anderer Personen bei. Wir prüfen jede Meldung und melden uns per E-Mail, wenn wir weitere Informationen brauchen.

Deine Ethereum-Wallet-Adresse für die DMP-Auszahlung brauchen wir erst, wenn wir die Meldung bestätigt haben.