FORMSYS

Sicherheit · verantwortungsvolle OffenlegungSecurity · responsible disclosure

Schwachstelle melden.Report a vulnerability.

Danke, dass Sie hinschauen. So erreichen Sie uns, was wir zusagen und worum wir bitten.Thank you for looking closely. Here is how to reach us, what we promise and what we ask.

GeltungsbereichScope

  • formsys.io, formsys.eu und alle Unterseitenand all subpages
  • kai-pay.net, app.kai-pay.net, kasse.kai-pay.net sowie die KAI-Pay-Appsand the KAI Pay apps
  • KAI Oracle einschließlich Register und PrüfskriptKAI Oracle including register and verification script

Nicht im Geltungsbereich: Dienste Dritter (Hoster, Spark-Betreiber, OpenTimestamps-Kalender, BTC Map). Melden Sie Funde dort bitte direkt den Betreibern; wir leiten gern weiter.Out of scope: third-party services (host, Spark operators, OpenTimestamps calendars, BTC Map). Please report findings there directly to the operators; we are happy to forward.

MeldewegHow to report

E-Mail: admin@formsys.io (Formsys, bevorzugt) oder(Formsys, preferred) or kontakt@kai-pay.net (KAI Pay)(KAI Pay)
security.txt: formsys.io/.well-known/security.txt (RFC 9116)
Bitte beschreiben Sie Fund, betroffene Adresse, Schritte zum Nachstellen und mögliche Auswirkung. Ein Proof of Concept hilft; echte Nutzerdaten brauchen wir nicht.Please describe the finding, affected address, steps to reproduce and possible impact. A proof of concept helps; we do not need real user data.

Was wir zusagenWhat we promise

  • Eingangsbestätigung innerhalb von drei Werktagen, erste Einschätzung innerhalb von zehn Werktagen.Acknowledgement within three working days, initial assessment within ten working days.
  • Wir halten Sie über Behebung und Zeitplan auf dem Laufenden und nennen Sie auf Wunsch nach der Behebung.We keep you informed about the fix and timeline and credit you after the fix if you wish.
  • Gegen Forschung in gutem Glauben, die sich an diese Regeln hält, gehen wir nicht rechtlich vor.We do not take legal action against good-faith research that follows these rules.
  • Ein Bug-Bounty-Programm gibt es derzeit nicht; wir sagen das lieber vorher als nachher.There is currently no bug bounty programme; we would rather say so before than after.

Worum wir bittenWhat we ask

  • Keine Überlastungsangriffe, kein Spam über das Kontaktformular, keine Social-Engineering-Versuche gegen Mitarbeiter oder Nutzer.No denial-of-service attacks, no spam via the contact form, no social engineering against staff or users.
  • Keine Zugriffe auf fremde Daten oder Wallets über das Nachweisen des Fundes hinaus; gefundene Daten nicht speichern oder weitergeben.No access to other people's data or wallets beyond demonstrating the finding; do not store or pass on any data found.
  • Geben Sie uns angemessen Zeit zur Behebung, bevor Sie veröffentlichen; wir streben 90 Tage an und sprechen Ausnahmen ab.Give us reasonable time to fix before publishing; we aim for 90 days and agree exceptions.
  • Tests in KAI Pay bitte nur mit eigenen Wallets und kleinen Beträgen.Tests in KAI Pay only with your own wallets and small amounts, please.

VerschlüsselungEncryption

Für vertrauliche Meldungen stellen wir auf Anfrage einen Schlüssel zur Verfügung; schreiben Sie zunächst ohne Details an admin@formsys.io. Ein veröffentlichter PGP-Schlüssel folgt in der security.txt.For confidential reports we provide a key on request; first write to admin@formsys.io without details. A published PGP key will follow in the security.txt.

Stand: 4. November 2026Last updated: 4 November 2026