Sicherheit

Sicherheit ist nie fertig. Wenn Du eine Schwachstelle in einem unserer Produkte oder Systeme gefunden hast, melde sie uns bitte – wir freuen uns über jeden Hinweis und behandeln ihn vertraulich.

Kontakt

E-Mail: info@customgento.com
Telefon: +49 69 3487455 0

Maschinenlesbar findest Du diese Angaben nach RFC 9116 unter /.well-known/security.txt.

Geltungsbereich

Diese Richtlinie gilt für:

• unsere Magento-Extensions und sonstige von uns veröffentlichte Software,
• unsere eigenen Systeme und Dienste unter customgento.com,
• von uns entwickelten Code in Kundenprojekten.

Shops und Infrastruktur unserer Kunden gehören nicht dazu. Betrifft Dein Fund ein Kundensystem, melde ihn bitte trotzdem an uns – wir leiten ihn an den jeweiligen Betreiber weiter, statt dass Du ihn selbst kontaktierst.

Was wir uns von Dir wünschen

• Schicke uns genug Details, um den Fund nachzustellen: betroffene Version, URL oder Datei, Schritte, möglichst ein Proof of Concept.
• Beschränke Deine Tests auf das Nötigste. Kein Denial of Service, kein Spam, kein Social Engineering, keine physischen Angriffe.
• Greife nicht auf fremde Daten zu und verändere oder lösche nichts. Wenn Du versehentlich auf personenbezogene Daten stößt, brich ab und sag uns Bescheid.
• Gib uns Zeit für einen Fix, bevor Du den Fund veröffentlichst – siehe unten.

Was wir zusagen

• Wir bestätigen den Eingang Deiner Meldung innerhalb von fünf Werktagen.
• Wir melden uns innerhalb von zehn Werktagen mit einer ersten Einschätzung und halten Dich danach über den Stand auf dem Laufenden.
• Wir stellen einen Fix bereit und nennen Dich auf Wunsch als Finder:in.
• Solange Du Dich an diese Richtlinie hältst und in gutem Glauben handelst, leiten wir keine rechtlichen Schritte gegen Dich ein.

Wir bitten um eine koordinierte Veröffentlichung: 90 Tage nach Deiner Meldung oder sobald ein Fix verfügbar ist, je nachdem, was früher eintritt. Wenn es länger dauert, sagen wir Dir warum.

Ein Bug-Bounty-Programm mit Geldprämien betreiben wir nicht.

Supportzeitraum

Für unsere Magento-2-Extensions beheben wir gemeldete Schwachstellen und veröffentlichen Sicherheitsupdates als neue Releases mindestens bis 10/2031.

Welcher Supportzeitraum für eine einzelne Extension gilt, steht in ihrer Dokumentation.

Aktiv ausgenutzte Schwachstellen

Als Hersteller von Produkten mit digitalen Elementen melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gemäß dem Cyber Resilience Act (Verordnung (EU) 2024/2847) über die zentrale Meldeplattform an ENISA und das BSI. Bitte weise uns in Deiner Meldung darauf hin, wenn Du Anzeichen dafür hast, dass eine Schwachstelle bereits ausgenutzt wird – dann gelten für uns Fristen von 24 Stunden.