Schwachstelle melden #

Schreib an security@frem.sh. Verschlüsselte E-Mails sind willkommen; den Fingerabdruck des PGP-Schlüssels findest du im Trust Center.

Wir bestätigen den Eingang von Meldungen innerhalb von 48 Geschäftsstunden (die formale Zusage steht in der Safe-Harbour-Klausel unten). Kritische Probleme in der fremforge-Schicht patchen wir bei Bedarf noch vor dem Upstream-Projekt Forgejo; Fehler im Upstream koordinieren wir mit dem Forgejo-Sicherheitsteam nach dessen Offenlegungsrichtlinie. Unsere veröffentlichten Patch-Fristen je Schweregrad stehen im Trust Center.

Offenlegung von Schwachstellen #

Melde Schwachstellen an security@frem.sh.

Eine maschinenlesbare Offenlegungsrichtlinie nach RFC 9116 ist unter frem.sh/.well-known/security.txt veröffentlicht, mit Geltungsbereich, Kontakt, bevorzugten Sprachen und Frist für die Eingangsbestätigung.

Safe Harbour: Forschung in gutem Glauben innerhalb des veröffentlichten Geltungsbereichs ist durch Safe Harbour gedeckt. fremverk geht nicht rechtlich gegen Forschende vor, die sich an die Offenlegungsrichtlinie halten. Wir verpflichten uns, Schwachstellenmeldungen innerhalb von 48 Geschäftsstunden zu bestätigen und koordiniert nach einem gemeinsam vereinbarten Zeitplan offenzulegen.

Der Fingerabdruck des PGP-Schlüssels für security@frem.sh ist unter frem.sh/trust#security-contact veröffentlicht.

Geltungsbereich #

frem.sh - Forgejo-UI, Git-Protokoll, API, Paket-Registry
www.frem.sh, docs.frem.sh, status.frem.sh
die Produktionsumgebung von fremforge auf T Cloud Public
E-Mail- und Transaktionsdienste, die von @frem.sh aus versenden

Nicht im Geltungsbereich #

Integrationen von Drittanbietern, die du mit fremforge verbindest (bitte an den jeweiligen Anbieter melden)
Funde, deren Reproduktion eine bereits authentifizierte, privilegierte Benutzersitzung voraussetzt, die über das hinausgeht, worauf der Benutzer ohnehin Zugriff hat

Was wir veröffentlichen #

Sicherheitshinweise veröffentlichen wir im Trust Center und verschicken sie an die Sicherheits-Mailingliste. Post-Mortems zu jedem Vorfall, der Kundendaten oder die Verfügbarkeit betroffen hat, veröffentlichen wir innerhalb von 14 Tagen.

Änderungsverlauf #

Version	Datum	Änderung
1.0	2026-04-25	Erstveröffentlichung.
1.1	2026-10-04	Geltungsbereich: Die Cloud-Produktionsumgebung wird beschrieben statt mit ihrem internen Projektnamen genannt. Keine Änderung des Geltungsbereichs.