Sicherheit bei LiveAPISec

Um eine Schwachstelle zu melden, schreiben Sie an [email protected]. Wir bestätigen Meldungen innerhalb von zwei Werktagen, untersuchen sie und verfolgen keine rechtlichen Schritte gegen Forscher, die nach der untenstehenden Richtlinie in gutem Glauben handeln.

.well-known/security.txt

Wie wir die Plattform schützen

Verschlüsselung bei Übertragung und Speicherung. Der gesamte Verkehr nutzt HTTPS mit HSTS; API-Zugangsdaten werden serverseitig mit AES-256 verschlüsselt und nie in Logs geschrieben.
Isolierte Scans. Automatisierte Tests laufen in einer isolierten Sandbox mit schonender Geschwindigkeit und harten Limits. Ziele werden ausschließlich im Rahmen eines autorisierten Scans kontaktiert.
Least Privilege und begrenzte Keys. Die CLI nutzt eingeschränkte Developer-API-Keys; Login-Keys laufen nach 30 Tagen ab. Sie können sie jederzeit in den Einstellungen widerrufen.
Eigentumsverifizierung. Erweiterte und destruktive Tests erfordern eine Domain-Verifizierung (DNS TXT, CNAME, HTTP-Datei) und dokumentierte Zustimmung.
Security Header. Die öffentliche Website sendet HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy und eine restriktive Permissions-Policy. Öffentliche Zertifikatsseiten lockern nur frame-ancestors, damit Kunden ihr Zertifikats-Widget einbetten können.
Deterministischer Kern. Die Erkennung ist deterministisch und reproduzierbar; KI dient der Triage und optionalen Agent-Sonden, nie als einzige Grundlage eines Fundes.

Richtlinie zur verantwortungsvollen Offenlegung

Wir freuen uns über Meldungen zu LiveAPISec-Website, API und CLI. Bitte:

E-Mail an [email protected] mit Reproduktionsschritten und Auswirkung senden.
Uns angemessene Zeit zur Behebung vor öffentlicher Offenlegung geben.
Keine Daten anderer Kunden abrufen, verändern oder exfiltrieren.
Keine DoS-Tests, Spam oder Social Engineering durchführen.
Nur Konten und Projekte testen, die Ihnen gehören oder für die Sie autorisiert sind.

Diese Richtlinie autorisiert keine Tests an APIs oder Infrastruktur Dritter. Scans gegen Kundenziele müssen über das Produkt mit dokumentierter Zustimmung laufen.

Umfang und Grenzen

LiveAPISec führt automatisierte Black-Box-Sicherheitstests im Umfang der von Ihnen bereitgestellten API-Spezifikation und -Konfiguration aus. Es ist kein vollständiges manuelles Audit und garantiert keine Sicherheit. Zertifikate beschreiben den Stand des letzten Scans und sind keine Zertifizierung. Den Haftungsausschluss finden Sie auf jeder Zertifikatsseite.

Danksagungen

Wir nennen gerne Forscher, die gültige Probleme melden und genannt werden möchten. Kontaktieren Sie uns, wenn Ihr Name oder Handle hier erscheinen soll.

E-Mail an [email protected]Kontakt