Sicherheit

Diese Übersetzung dient nur der Orientierung. Weicht sie von der englischen Fassung ab, gilt die englische Fassung.

Zuletzt aktualisiert: [DATE]

Wir nehmen die Sicherheit von Soffio ernst. Wenn du eine Schwachstelle gefunden hast, melde sie uns bitte zuerst privat, damit wir sie beheben können, bevor andere sie ausnutzen können.

Eine Schwachstelle melden

Schreibe an security@getsoffio.app. Derselbe Kontakt steht in getsoffio.app/.well-known/security.txt. [PGP-Schlüssel: optional, siehe offene Punkte.]

Bitte gib an:

• was du gefunden hast und was ein Angreifer damit tun könnte,
• die Soffio-Version (Einstellungen > Info) und deine macOS-Version,
• Schritte zur Reproduktion und, falls vorhanden, einen Proof of Concept.

Schreibe auf Englisch oder Italienisch. Bitte melde Sicherheitsprobleme nicht an öffentlichen Orten wie sozialen Netzwerken oder Foren.

Was dann passiert

Wir bewerten den Schweregrad mit CVSS und danach, wie das Problem echte Nutzer betrifft. Wir halten dich auf dem Laufenden, während wir daran arbeiten, und sagen dir Bescheid, wenn die korrigierte Version erscheint. Das sind Ziele, keine Versprechen; wir sind ein Ein-Personen-Unternehmen und sagen dir, wenn wir länger brauchen.

Koordinierte Offenlegung

• Bitte gib uns 90 Tage ab deiner Meldung, oder bis eine Korrektur erscheint, falls früher, bevor du Details veröffentlichst. Wenn wir mehr Zeit brauchen, fragen wir und erklären, warum.
• Wenn das Problem aktiv ausgenutzt wird, können wir früher gemeinsam mit dir einen Sicherheitshinweis veröffentlichen.
• Wenn die Korrektur erscheint, veröffentlichen wir einen kurzen Sicherheitshinweis auf getsoffio.app/security und erwähnen ihn in den Versionshinweisen. Wir nennen dich auf Wunsch mit Namen oder Pseudonym; sag uns, wie.
• Bei schwerwiegenden Problemen können wir eine CVE-Kennung beantragen.

Derzeit gibt es kein bezahltes Bug-Bounty-Programm.

Sicherer Hafen (Safe Harbour)

Wenn du in gutem Glauben handelst und dich an diese Richtlinie hältst, ergreifen wir wegen deiner Recherche keine rechtlichen Schritte gegen dich und bitten auch niemand anderen darum. Guter Glaube bedeutet:

• Du testest nur auf deinem eigenen Mac, mit deinen eigenen Konten und deinen eigenen Daten,
• du greifst nicht auf Daten anderer Personen zu, änderst sie nicht und löschst sie nicht,
• du greifst unsere Website, Polar, Groq oder andere Dienste nicht so an, dass sie oder ihre Nutzer Schaden nehmen (kein Denial of Service, kein Spam, kein Social Engineering),
• du gibst uns angemessene Zeit, das Problem zu beheben, bevor du es veröffentlichst.

Im Geltungsbereich

• Die Soffio-App, ihr Kommandozeilenwerkzeug soffio und ihr MCP-Server.
• Der Update-Feed und die Update-Signaturen.
• Die Lizenzverwaltung in der App.
• Die Website getsoffio.app.

Außerhalb des Geltungsbereichs

• Dienste, die wir nicht betreiben: Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, unser Webhoster. Melde diese ihren Eigentümern. Wir wollen trotzdem wissen, wenn Soffio sie unsicher nutzt.
• Probleme, bei denen ein Angreifer bereits dein Mac-Benutzerkonto mit denselben Rechten wie du kontrollieren oder physischen Zugriff auf einen entsperrten Mac haben muss, es sei denn, Soffio macht die Lage deutlich schlimmer.
• Das Umgehen der Lizenz oder der Testphase auf deinem eigenen Mac. Das ist eine Lizenzfrage, keine Sicherheitslücke. Du kannst es uns trotzdem sagen.
• Meldungen automatischer Scanner ohne Nachweis, dass das Problem real ist.
• Fehlende Best-Practice-Header auf der Website ohne echte Auswirkung.

Supportzeitraum

• Jede Hauptversion von Soffio erhält mindestens 2 Jahre nach ihrer Erstveröffentlichung Sicherheitskorrekturen und mindestens 1 Jahr, nachdem die nächste Hauptversion erschienen ist, je nachdem, was später liegt.
• Korrekturen erscheinen in der neuesten Nebenversion dieser Hauptversion (zum Beispiel 1.4.2). Updates innerhalb einer Hauptversion sind kostenlos. Bitte halte Soffio aktuell; automatische Update-Prüfungen sind der einfachste Weg.
• Wir kündigen das Ende des Supports für eine Hauptversion mindestens 6 Monate vor dessen Ende an, auf getsoffio.app/security und in den Versionshinweisen der App.
• Soffio unterstützt die macOS-Versionen, die auf der Download-Seite aufgeführt sind. Wenn wir eine alte macOS-Version nicht mehr unterstützen, wird die letzte Soffio-Version dafür in den Versionshinweisen genannt.

Wie Korrekturen zu dir kommen

Updates werden über den integrierten Updater der App (Sparkle) ausgeliefert. Jedes Update wird mit unserem eigenen Schlüssel signiert, und die App prüft die Signatur vor der Installation. Die App selbst ist mit einer Apple Developer ID signiert und von Apple notarisiert. Die Versionshinweise sagen, wann ein Update eine Sicherheitskorrektur enthält.

Software-Stückliste (SBOM)

Soffio nutzt eine kleine Zahl von Open-Source-Komponenten. Ihre Namen, Versionen und Lizenzen stehen in der Datei THIRD_PARTY_NOTICES in der App und unter Einstellungen > Info > Danksagungen. Eine maschinenlesbare Software-Stückliste (SBOM) für jede Version ist auf Anfrage unter security@getsoffio.app erhältlich. [Oder: veröffentlicht unter getsoffio.app/security/sbom.json, siehe offene Punkte.]

Kontakt

security@getsoffio.app. Roberto Cinetto, [ADDRESS], [PROVINCE], Kanada.

Derselbe Kontakt steht in security.txt.