Sicherheit
Wir verwahren, was Angreifer wollen. Und behandeln es entsprechend.
Die Liste Ihrer Komponenten und ihrer bekannten Schwachstellen ist eine Landkarte für Angreifer. Das sind die Regeln, nach denen Provetry gebaut ist.
Nur lesend, und nur das Nötige
Provetry liest Ihre Abhängigkeitsmanifeste, Lock-Dateien und Container-Images, um Ihre SBOM zu erstellen. Der Zugriff auf Repositories ist nur lesend, auf die von Ihnen gewählten Repositories beschränkt und jederzeit bei Ihrem Git-Hoster widerrufbar.
In der Europäischen Union gehostet
Ihre Daten werden in der EU gespeichert und verarbeitet, in einer Datenbank ohne Zugang aus dem Internet, mit täglichen verschlüsselten Sicherungen in der EU.
Verschlüsselt, bei der Übertragung und im Ruhezustand
TLS überall, HSTS, und sensible Felder (Zugriffstoken für Repositories, Entwürfe von Meldungen) werden in der Datenbank mit einem getrennt aufbewahrten Schlüssel verschlüsselt.
Konten
Zwei-Faktor-Authentifizierung, sichtbare und widerrufbare Sitzungen und ein Protokoll jeder Aktion in Ihrem Arbeitsbereich in den Tarifen Pro und Consultant.
Keine Tracker
Keine Werbe- oder Tracking-Cookies auf dieser Website oder in der Anwendung. Besuchsstatistiken, falls vorhanden, sind anonym und ohne Cookies.
Wir halten uns an das, was wir prüfen
Diese Website veröffentlicht bereits eine security.txt-Datei und die unten stehende Offenlegungsstrategie, so wie der CRA es von Ihnen verlangt.
Eine Schwachstelle melden
Übersetzung zur Information. Bei Abweichungen ist die englische Fassung maßgeblich.
Unsere Strategie für die koordinierte Offenlegung von Schwachstellen, wie sie der CRA von jedem Hersteller verlangt. Wenn Sie glauben, eine Schwachstelle in Provetry gefunden zu haben, sagen Sie es uns bitte: Wir arbeiten mit Ihnen zusammen, um sie vor jeder Veröffentlichung zu beheben.
Umfang
- Diese Website,
provetry.com, und die Anwendung,app.provetry.com. - Der Open-Source-Kern, provetry-core: sein Kommandozeilenwerkzeug, seine GitHub-Action und seine GitLab-Vorlage.
- Eine Schwachstelle in einer von uns genutzten Komponente gehört zum Umfang, wenn sie Provetry betrifft. Wir melden sie auch an diejenigen, die die Komponente pflegen.
So melden Sie
Schreiben Sie an security@provetry.com, auf Englisch oder Französisch (Deutsch verstehen wir, antworten aber auf Englisch). Geben Sie nach Möglichkeit an, was betroffen ist, die Schritte zur Reproduktion oder einen Proof of Concept, die mögliche Auswirkung und ob Sie genannt werden möchten. Unsere Kontaktdaten stehen auch in der Datei security.txt.
Wozu wir uns verpflichten
- Den Eingang Ihrer Meldung innerhalb von zwei Werktagen bestätigen.
- Ihnen innerhalb von fünf Werktagen eine erste Einschätzung geben und Sie bis zur Behebung auf dem Laufenden halten.
- Unverzüglich beheben und die betroffenen Kunden informieren, wenn ihre Daten offengelegt worden sein könnten.
- Das Veröffentlichungsdatum mit Ihnen abstimmen: standardmäßig 90 Tage nach der Meldung, oder früher, sobald die Korrektur bereitgestellt ist.
- Sie auf Wunsch in unseren Neuigkeiten nennen.
Worum wir Sie bitten
- Nutzen Sie Ihr eigenes Konto oder einen Testarbeitsbereich. Greifen Sie nicht auf Daten anderer Kunden zu, ändern oder löschen Sie sie nicht, und hören Sie auf, sobald die Schwachstelle nachgewiesen ist.
- Beeinträchtigen Sie den Dienst nicht: keine Denial-of-Service-Angriffe, keine automatisierten Scans in großem Umfang, kein Social Engineering gegenüber unserem Team oder unseren Kunden, keine physischen Angriffe.
- Veröffentlichen Sie die Schwachstelle nicht vor dem mit uns vereinbarten Datum.
Wenn Sie diese Regeln in gutem Glauben befolgen, werden wir wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie einleiten und, sollte ein Dritter dies tun, bekannt machen, dass Sie im Einklang mit dieser Strategie gehandelt haben.
In der Regel nicht angenommen
Berichte automatisierter Werkzeuge ohne nachgewiesene Auswirkung, fehlende Sicherheits-Header oder Cookie-Attribute ohne ausnutzbare Folge, Self-XSS, Clickjacking auf Seiten ohne sensible Aktion, Ratenbegrenzungen an nicht sensiblen Endpunkten und die Versionsnummern öffentlicher Software.
Wir bieten keine finanzielle Belohnung. Zuletzt aktualisiert am 8. November 2026.