安全与漏洞披露

最后更新： 2026-10-31

报告漏洞

请将报告发送至[email protected]，并在主题行中注明“Security”。

URL或端点，以及攻击者可以利用它做什么。截图会有帮助。您无需以正式方式撰写，英语或德语均可。一份有用的报告包括您发现了什么、在哪里发现，以及足以让我们重现的详细信息：概念验证、受影响的

我们的承诺

• 3 个工作日内确认收到。对于看来属实的报告，我们力争在
• 我们力争在10 个工作日内给出初步评估，包括我们是否认定其为漏洞以及大致的时间表。
• 我们在处理期间会让您了解最新进展，而不是杳无音信。
• 对于在下述范围内善意进行的研究，我们不会对您采取法律行动，也不会要求他人这样做。这包括不将此类研究视为违反我们的条款。

我们目前没有设立付费漏洞赏金计划。我们宁愿坦率地这样说明，也不愿让研究人员在以为我们设有赏金的假设下花一个周末。

我们可能不予答复的报告

上述承诺是针对从事真正安全研究的人员的。它们并非承诺答复发送到该地址的一切邮件。

凡看来具有欺诈性、批量发送、由机器人或语言模型生成，或主要为索取付款或证书而提交的，我们可以不予答复而直接关闭。

实践中的表现包括：没有概念验证、没有描述影响、直接粘贴扫描器的输出、在提供任何细节之前就要求赏金，或一篇冗长流畅但其技术性主张经不起核实的文章。如果我们对您的报告判断有误，请补充缺少的细节并说明一次，我们将重新审视。

范围

上的网站及其子域名、EditingTools.io和editingtools.euvikvoguediting.tools,网页工具和editingtools.com,bemoAPI，以及我们的应用和插件。对于我们可下载的软件，我们按《欧盟网络韧性法》（（欧盟）第在范围内：editingtools.io,editingtools.de2024/2847号条例）的要求处理漏洞并报告被积极利用的漏洞。

不在范围内，因为它们属于他人，我们无法授权对其进行测试：我们的基础设施提供者、支付服务提供商、应用商店，以及我们子处理者页面上列出的任何其他第三方。请直接向相应提供者报告这些问题。

请勿

• 访问、修改或删除属于您本人以外的任何人的数据。如果您需要账户进行测试，请向我们索取。
• 进行拒绝服务测试、大规模的自动化扫描，或进行任何其他会降低他人服务质量的行为。
• 对我们的员工或我们的提供者使用社会工程、网络钓鱼或物理手段。
• 在我们获得合理的修复机会之前公布细节。我们建议天，如果我们需要更长时间，会与您沟通。90

我们已知不属于漏洞的问题

为节省您的时间，以下问题经常被报告，我们将不采取行动而直接关闭：

• 缺少未证明有任何影响的安全响应头
• 没有可用概念验证的自动化扫描器输出
• TLS配置弱点当前任何客户端均不受影响的
• 影响仅限于报告者本人的端点上的速率限制

服务如何得到保护

条采取的技术和组织措施的完整说明见数据处理协议附件vapco32GDPR供将我们作为供应商进行评估的人员参考的摘要。我们依据第2。

• 基础设施位于德国，由欧盟境内的提供者运营。
• TLS所有传输中的流量均采用加密。存储层上的静态数据已加密。
• 管理访问需要带有多因素认证的个人具名账户，并按最小权限原则授予。
• 上传的文件在处理后删除；结果在用户设定的保存期限届满后过期。
• 客户内容不被用于训练机器学习或AI模型。
• 服务已由独立的安全公司评估。企业客户可应要求在保密协议下获得摘要。

向我们报告事件

条，我们会在获悉泄露后不无故迟延地、并无论如何在[email protected]。依据数据处理协议第9小时内通知受影响的企业客户。48zohulu如果您认为发生了影响您数据的个人数据泄露，请写信至