1. So schützen wir dein Konto
- HTTPS überall. more.you, die App, der MCP-Server und veröffentlichte Seiten werden über HTTPS ausgeliefert. Eigene Domains bekommen automatisch ein Zertifikat.
- Anmeldung mit Google. Du meldest dich mit deinem Google-Konto an, deshalb sieht More.You dein Google-Passwort nie. Ein Passwort aus einer früheren Registrierung wird nur als bcrypt-Hash gespeichert.
- Sichere Sitzungen. Anmelde-Cookies sind sicher und HTTP-only, sodass Skripte auf einer Seite sie nicht lesen können.
- KI-Verbindungen unter deiner Kontrolle. KI-Steuerung verbindet einen Assistenten über OAuth. Du bestätigst jede Verbindung und kannst sie entfernen.
- Keine Geheimnisse im Code. Schlüssel und Passwörter liegen im AWS Systems Manager Parameter Store.
- Schutz vor Missbrauch. Ratenbegrenzung bei Anmeldung und Registrierung sowie eine Prüfung, ob jede Anfrage, die Daten ändert, von unserer eigenen Website kommt.
- Zahlungen über Stripe. Kartendaten gehen direkt an Stripe. Wir sehen und speichern nie Kartennummern.
Die Datenschutzerklärung erklärt, welche Daten wir speichern und an wen wir sie weitergeben.
2. Sicherheitslücke melden
Schreib an security@more.you und gib Folgendes an:
- eine Beschreibung des Problems und was ein Angreifer damit tun könnte;
- Schritte zum Nachstellen, mit Proof-of-Concept-Code oder Screenshots;
- wo es auftritt, zum Beispiel more.you, app.more.you oder mcp.more.you;
- dein Name oder Benutzername, wenn du genannt werden möchtest.
Bitte melde eine Sicherheitslücke nicht in einem öffentlichen Issue, einer Bewertung oder einem Social-Media-Post.
3. Geltungsbereich
Im Geltungsbereich
- more.you und die Subdomains, die wir betreiben, darunter app.more.you und api-app.more.you.
- Veröffentlichte Seiten unter more.you/<name> und auf verbundenen eigenen Domains.
- Der More.You-MCP-Server unter mcp.more.you/api und seine OAuth-Anmeldung.
Außerhalb des Geltungsbereichs
- Probleme in Diensten, die wir nutzen, etwa Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare und die sozialen Netzwerke. Melde diese an das Unternehmen, das sie betreibt.
- Probleme in KI-Assistenten, die sich mit unserem MCP-Server verbinden, etwa ChatGPT, Claude und Gemini.
- Angriffe, die physischen Zugriff auf das Gerät eines Opfers erfordern, Social Engineering unserer Mitarbeiter oder Denial of Service durch hohes Datenaufkommen.
- Probleme, die bereits öffentlich bekannt sind.
- Meldungen, die keinen realen Schaden belegen.
4. Regeln für Tests
- Teste nur mit deinem eigenen Konto und deinen eigenen Seiten.
- Lies, ändere oder lösche keine Daten anderer Personen. Wenn du aus Versehen darauf zugreifst, hör auf und sag uns, was du gesehen hast.
- Starte keine automatisierten Scans, die den Dienst für andere verlangsamen.
- Versuche nicht, über eine Seite, die dir nicht gehört, eine Zahlung zu erwirken, und nutze keine Karten, die du nicht nutzen darfst.
5. Safe Harbor
Wenn du dich bei deiner Recherche nach Treu und Glauben bemühst, diese Richtlinie einzuhalten, betrachten wir deine Recherche als autorisiert. Wir arbeiten mit dir zusammen, um das Problem zu verstehen und schnell zu beheben, und wir leiten deswegen keine rechtlichen Schritte ein und unterstützen sie auch nicht.
6. Koordinierte Offenlegung
Gib uns angemessen Zeit, das Problem zu untersuchen und zu beheben, bevor du es veröffentlichst. Sobald es behoben ist, nennen wir dich gern in jeder öffentlichen Mitteilung.
7. security.txt
Wir veröffentlichen /.well-known/security.txt nach RFC 9116, mit derselben Kontaktadresse und einem Link zu dieser Seite.
8. So bleibt dein Konto sicher
- Aktiviere die Bestätigung in zwei Schritten für das Google-Konto, mit dem du dich anmeldest.
- Entferne KI-Assistenten und Stripe-Verbindungen, die du nicht mehr nutzt.
- Wir fragen dich nie per E-Mail nach deinem Passwort. Wenn eine E-Mail danach fragt, leite sie an security@more.you weiter.
