Sicherheit

Eine Schwachstelle melden

Wohin damit, was hineingehört, und unsere Zusage, gutgläubige Forschung nicht zu verfolgen.

Schick Sicherheitsmeldungen an security@afer.app. Es ist eine Adresse, gelesen von den Leuten, die das Problem beheben können. Schreib in einfacher Sprache; ein funktionierender Nachweis ist mehr wert als ein langer Bericht. Du bekommst eine Antwort, die bestätigt, dass wir sie haben, und eine Person als Ansprechpartner, bis das Problem geschlossen ist. Wenn E-Mail keine Option ist, funktioniert auch das Support-Anfrageformular auf dieser Website.

• was du gefunden hast und was jemand damit anstellen könnte
• wo es sitzt: die Adresse, die App und ihre Version, die Plattform
• die Schritte, um es nachzustellen, der Reihe nach
• Screenshots, eine kurze Aufnahme oder die Anfragen und Antworten
• der Name oder das Pseudonym, das genannt werden soll, oder gar keines

Wenn du in gutem Glauben forschst und innerhalb des unten genannten Rahmens bleibst, gehen wir wegen der Tests nicht rechtlich gegen dich vor, bitten auch niemanden sonst darum und zeigen dich dafür nicht an. Wir bestätigen das schriftlich, wenn du es brauchst. Guter Glaube heißt, dass du deine eigenen Konten nutzt, nur die Daten nimmst, die nötig sind, um den Fund zu belegen, aufhörst, sobald du den Beleg hast, und uns Zeit gibst, es zu beheben, bevor du veröffentlichst.

Dieses Versprechen endet dort, wo die Forschung endet. Erpressung, Drohungen, der Verkauf eines Funds, das Ändern oder Löschen der Daten anderer Menschen und die Nutzung eines Kontos, in das du eingebrochen bist, sind keine Forschung, und wir behandeln sie als Betrug. Wir können auch nicht für andere sprechen. Wenn deine Tests einen Dienst berühren, den wir nicht betreiben, gelten die Regeln dieses Anbieters. Sag es uns trotzdem, und wir geben weiter, was wir können.

Geltungsbereich

Welche Apps, Domains und Schnittstellen dazugehören, und was nicht.

Im Rahmen: afer.app und die darunter ausgelieferten Seiten, die Afër-App auf iOS und Android, die Händler-App, die Fahrer-App und die öffentliche API hinter all dem. Wenn ein normaler Nutzer, Händler oder Fahrer es erreichen kann, wollen wir davon hören. Dazu gehören die Teile der Website, die Eingaben von dir entgegennehmen, etwa das Support-Anfrageformular, das Einwilligungsbanner und das Sprach-Cookie.

• Social Engineering gegen unsere Mitarbeiter, Händler, Fahrer, Kuriere oder Nutzer
• körperliche Angriffe auf Büros, Fahrzeuge, Geräte oder Menschen
• Denial of Service, Lasttests oder alles, was den laufenden Dienst beeinträchtigt
• Meldungen, die nur die Ausgabe eines automatischen Scanners sind, ohne nachgewiesene Auswirkung
• Dienste, die wir nicht betreiben, einschließlich der App-Stores und unseres Zahlungsdienstleisters

Teste gegen deine eigenen Konten und deine eigenen Daten. Gib keine echte Bestellung auf, fordere keine echte Fahrt an und buche keine Prüfung, um etwas zu beweisen, und dräng keinen aktiven Händler in Arbeit, die ihn Geld kostet. Lies nicht den Chat, den Beleg oder die Fahrtaufzeichnung einer anderen Person; maskierte Telefonnummern bleiben maskiert. Wenn sich ein Fund nur mit den Daten einer anderen Person zeigen lässt, hör dort auf und beschreib ihn, und wir richten mit dir ein Testkonto ein.

Antwortzeiten

Eingangsbestätigung, Einstufung und Zielzeiten für die Behebung.

Wir bestätigen jede Meldung an security@afer.app innerhalb von zwei Werktagen, und wir schließen die Triage innerhalb von fünf Werktagen ab. Die Triage gibt dir drei Dinge: einen Schweregrad, eine Entscheidung darüber, ob der Fund in den Geltungsbereich fällt, und den Namen der Person, die ihn bearbeitet. Wenn wir das Problem nicht reproduzieren können, sagen wir das und fragen, was wir übersehen haben, statt es still zu schließen. Auch Duplikate bestätigen wir, und wir sagen dir, welche Meldung zuerst eingegangen ist. Die Zeiten unten sind die Ziele, auf die wir hinarbeiten, keine Garantien.

• kritisch, etwa Kontoübernahme oder Geld, das ohne Zustimmung bewegt wird: sofort eingedämmt, innerhalb von sieben Tagen behoben
• hoch: innerhalb von dreißig Tagen behoben
• mittel: innerhalb von neunzig Tagen behoben
• niedrig: in einem regulären Release behoben, und wir sagen dir, in welchem
• jede Frist, die wir verfehlen werden: wir sagen es dir, bevor sie verstreicht, mit einem neuen Datum

Diese Fristen sind getrennt von denen, nach denen der Support arbeitet. Der Support will Sicherheitsmeldungen innerhalb einer Stunde beantworten, Tag und Nacht, Zahlungen und Erstattungen am selben Werktag und alles andere innerhalb eines Werktags. Wenn das, was du gefunden hast, gerade jetzt eine bestimmte Person in Gefahr bringt, warte nicht in der Sicherheits-Warteschlange. Nutze SOS in der App oder schreib an support@afer.app und sag, dass es dringend ist.

Kontosicherheit

Rufnummernbestätigung, Sitzungsverwaltung, und wonach wir dich nie fragen werden.

Dein Konto ist an deine Telefonnummer gebunden. Beim Anmelden geht ein Einmalcode an diese Nummer, und ein neues Gerät braucht einen neuen Code, bevor es etwas sieht. Auf den Geräten, die du schon freigegeben hast, bleiben Sitzungen offen, deshalb lohnt es sich zu wissen, welche Telefone das sind. Wenn du das Konto in den Einstellungen löschst, werden diese Sitzungen mit geschlossen und dein Profil und deine personenbezogenen Daten entfernt.

• den Einmalcode, der an dein Telefon geschickt wird, niemals, aus keinem Grund
• ein Passwort, denn das Konto verwendet keines
• deine vollständige Kartennummer, im Chat, per E-Mail oder am Telefon
• eine Zahlung, um eine Erstattung, eine Auszahlung oder ein Wallet-Guthaben freizugeben
• Fernzugriff auf dein Telefon oder eine Bildschirmfreigabe deines Wallets

Wer nach einem davon fragt, ist nicht wir, egal was die Anruferkennung oder das Logo sagt. Echter Support erreicht dich über Hilfe in der App, über support@afer.app oder als Antwort auf eine Anfrage, die du auf der Website eröffnet hast, mit dem Referenzcode, den du bekommen hast. Wenn dich jemand anruft, behauptet, Afër zu sein, und nach deinem Code fragt, beende den Anruf und sag es uns.

Sag uns schnell Bescheid, wenn du das Telefon verlierst, die Nummer verlierst oder eine Zahlung siehst, die du nicht gemacht hast. Wir können ein Konto sperren, während wir uns das ansehen, und Zahlungsprobleme werden am selben Werktag beantwortet. Bestätigter Betrug setzt den Vertrauenswert dieses Profils auf null und schließt das Konto. Der Wert setzt sich aus der Verifizierung, abgeschlossenen Transaktionen, Bewertungen, dem Alter des Kontos und bestandenen Prüfungen zusammen, und der Kontoinhaber kann ihn nicht bearbeiten.

Zahlungssicherheit

Wie Wallet-Guthaben und Kartenaufladungen behandelt werden, und wie der Einmal-QR aufgebaut ist.

Das Wallet ist vorausbezahlt, und jeder Dienst wird vom selben Guthaben abgerechnet. Das ist eine bewusste Grenze: Das Höchste, was jemand über die App erreichen kann, ist das, was du aufgeladen hast, nicht das Bankkonto dahinter. Kartenaufladungen laufen über unseren Zahlungsdienstleister. Aufgeladenes Geld kann nur auf die Karte zurückgehen, von der es kam, nie auf ein Bankkonto oder eine andere Karte, und Einnahmen werden nur auf das eigene hinterlegte Bankkonto der Person ausgezahlt, die sie verdient hat, niemals an ein Konto, das dir jemand in einem Chat nennt.

Die Zahlung vor Ort am Tresen läuft über einen Einweg-QR-Code, der in der Händler-App gezeigt wird. Der Code trägt eine Zahlung, über diesen Betrag, und er ist verbraucht, sobald er benutzt wurde, ein Foto vom Bildschirm ist danach also nichts wert. Niemand, der über Afër arbeitet, darf dich außerhalb der App um Geld bitten: Wo an der Tür bar bezahlt werden kann, gibst du genau den Betrag, den die App zeigt, und nicht mehr.

Jede Zahlung hinterlässt im Wallet einen aufgeschlüsselten Beleg, auf dem die Gebühr getrennt ausgewiesen ist, damit eine Abbuchung, die du nicht wiedererkennst, leicht zu erkennen ist. Du hast ab einer Bestellung, Fahrt oder einem Kauf 14 Tage Zeit, einen Streitfall zu eröffnen, und überhaupt keine Frist für eine Sicherheitsmeldung oder für Geld, das wir noch halten. Solange ein Fall offen ist, wird der Betrag gehalten und nicht abgerechnet, und Erstattungen gehen auf das Wallet-Guthaben zurück, von dem sie kamen, in der Regel innerhalb von Minuten nach einer Entscheidung.

Datenschutz

Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrolle und Protokollierung.

Der Datenverkehr zwischen deinem Gerät und Afër ist während der Übertragung verschlüsselt, und was wir speichern, ist dort verschlüsselt, wo es liegt: Kontodaten, Transaktionsdaten, Geräteinformationen, Support-Nachrichten und der Standort, den wir erheben, während ein Dienst läuft. Die Standorterhebung endet, wenn der Dienst endet. Wir halten personenbezogene Daten aus Webadressen heraus und aus allem, was sonst in einem gewöhnlichen Protokoll landen würde.

Innerhalb von Afër wird Zugriff nach Rolle und nach Bedarf vergeben. Ein Mitarbeiter, der deinen Fall bearbeitet, sieht die Bestellung, die Fahrt oder die Anzeige, die daran hängt, nicht deine Kartendaten und nicht die Fälle eines Kollegen. Zugriffe auf Systeme mit personenbezogenen Daten werden protokolliert, und die Protokolle werden durchgesehen. Ein Mitarbeiter, der einen Datensatz öffnet, für den er keinen Grund hatte, wird als Sicherheitsvorfall behandelt, nicht als Versehen.

• alles exportieren, was du uns gegeben hast, in einer maschinenlesbaren Datei
• das Konto in den Einstellungen löschen, und damit das Profil und die personenbezogenen Daten
• Transaktionsdaten, die wir gesetzlich aufbewahren müssen, bleiben, ohne deine Kontaktdaten
• Analyse-Cookies auf afer.app werden erst gesetzt, nachdem du Akzeptieren gewählt hast
• afer_lang speichert einen zweibuchstabigen Sprachcode und wird nicht für Analysen verwendet

Eine Formularübermittlung im Web wird mit einem Referenzcode, der Uhrzeit, dem ungefähren Land, aus dem sie kam, und der IP-Adresse gespeichert, die wir nutzen, um Missbrauch zu verhindern. Wir können Cloudflare Turnstile vor ein Formular stellen, um Menschen von Bots zu unterscheiden. Eine Übermittlung wird so lange aufbewahrt, wie wir sie brauchen, um deine Anfrage zu bearbeiten, und danach bis zu 24 Monate.

Dank

Forschende, die verantwortungsvoll gemeldet haben.

Wir nennen Forscher, die verantwortungsvoll melden, mit ihrer Zustimmung und nie ohne sie. Sag uns in deiner Meldung, wie du erscheinen willst: mit einem Namen, einem Pseudonym, einer Firma oder gar nicht. Du kannst es dir später anders überlegen, und wir nehmen den Eintrag herunter. Wir versprechen keine Bezahlung für eine Meldung, und wir halten eine Nennung nicht zurück, weil ein Fund für uns peinlich war.

• den Namen oder das Pseudonym, das der Forscher gewählt hat
• den Monat, in dem die Meldung bei uns eingegangen ist
• die Art des Problems, beschrieben ohne Anleitung, es zu wiederholen

Die Liste ist offen, und sie beginnt leer. Sie füllt sich, während Menschen melden, und ein Eintrag geht online, sobald die Behebung ausgeliefert ist und der Forscher dem Wortlaut zugestimmt hat. Wenn du etwas gemeldet hast und auf der Liste fehlst, oder darauf stehst und herunter willst, schreib an security@afer.app, und wir korrigieren es innerhalb eines Werktags.