Schwachstelle melden (Security Contact)
Wenn du eine potenzielle Sicherheitslücke auf unserer Website oder in unseren Anwendungen entdeckst, sende bitte eine E-Mail an security@exampia.com. Bitte gib betroffene URLs oder Endpunkte, nachvollziehbare Schritte zur Reproduktion, die mögliche Auswirkung sowie relevante Nachweise an. Bitte übermittle keine personenbezogenen Daten Dritter.
Geltungsbereich (Scope)
Der aktuelle öffentliche Geltungsbereich umfasst:
- Die öffentliche Exampia-Website und alle lokalisierten Unterseiten unter exampia.com;
- Das Exampia Web-Prüfungsstudio sowie von Exampia betriebene öffentliche API-Endpunkte;
- Authentifizierungs-, Weiterleitungs- und Erstanbieter-Webressourcen.
Ausgeschlossene Maßnahmen (Out of Scope)
Zum Schutz der Verfügbarkeit und der Privatsphäre unserer Lernenden sind folgende Handlungen untersagt:
- Denial-of-Service-Tests (DoS/DDoS), Lasttests oder aggressives automatisiertes Scanning;
- Social Engineering, Phishing oder physische Angriffe gegen Mitarbeitende;
- Zugriff auf, Veränderung oder Abfluss von Daten fremder Nutzerkonten;
- Tests gegen Drittanbieter-Infrastruktur (Cloud-Hoster, Zahlungsdienstleister oder App-Stores);
- Öffentliche Bekanntmachung einer Schwachstelle vor Ablauf einer angemessenen Behebungsfrist.
Safe-Harbor-Zusicherung
Wenn du in gutem Glauben handelst, diese Richtlinie einhältst, keine Datenschutzverletzungen oder Betriebsstörungen verursachst und Funde vertraulich meldest, betrachtet Exampia deine Sicherheitsforschung als autorisiert und leitet keine rechtlichen Schritte gegen dich ein.
Reaktionsprozess & Fristen
Wir bestätigen den Eingang valider Meldungen in der Regel innerhalb von 3 Werktagen, liefern innerhalb von 10 Werktagen eine erste technische Einschätzung und informieren dich nach Abschluss der Behebung.
Technische Schutzmaßnahmen
- Durchgängige HTTPS/TLS-Verschlüsselung über alle Web- und API-Endpunkte;
- Gehärtete HTTP-Sicherheitsheader einschließlich Content-Security-Policy (CSP), Frame-Protection, Referrer-Policy und Permissions-Policy;
- Regelmäßige Abhängigkeits- und Sicherheitsprüfungen im Entwicklungs- und Build-Prozess;
- Minimale Drittanbieter-Skripte und standardmäßig keinerlei Analyse- oder Werbe-Cookies.