Das kann Kit Security.

• Erfassen Sie Titel, Schwachstellentyp, Endpunkt und Beschreibung.
• Ergänzen Sie Reproduktionsschritte, den angegebenen Schweregrad und Dateien als Nachweis.
• Halten Sie die Zustimmung zur Richtlinie fest und stellen Sie nach dem Absenden einen Beleg bereit.

Bis zu zehn Dateien, jeweils unter 25 MB und zusammen unter 50 MB. Auch Meldungen ohne E-Mail-Adresse enthalten Übermittlungsmetadaten. E-Mail-Updates und eine Identität im Portal benötigen eine Adresse.

• Wählen Sie Logo, Farben, Slogan und die Sichtbarkeit der Marke.
• Nutzen Sie Kit als Host oder eine verifizierte eigene Sicherheitsdomain.
• Führen Sie die Einrichtung durch, prüfen Sie Entwürfe und aktivieren oder pausieren Sie die Annahme von Meldungen.

Ein Security-Programm pro Konto. Öffentliche Besucher benötigen ein aktives Programm. Eigene Domains erfordern einen Security-Zugang über das Abonnement.

• Listen Sie zulässige Ziele, ausgeschlossene Bereiche und Schwachstellentypen auf.
• Kopieren Sie den hinterlegten Geltungsbereich als Markdown.
• Veröffentlichen Sie Ihre Offenlegungsrichtlinie, optionalen Safe-Harbor-Text und Teilnahmehinweise.

Safe Harbor ist eine Zusage in Ihrer Richtlinie. Die Prüfung des Geltungsbereichs nutzt hinterlegte Zielzeichenfolgen und Schwachstellentypen. Kit ermittelt Ihre Angriffsfläche nicht selbst.

• Kopieren Sie die Meldungsreferenz und sehen Sie den Zeitpunkt der Einreichung.
• Lesen Sie Beschreibung und Reproduktionsschritte erneut.
• Sehen Sie Dateinamen ohne offengelegte Downloadlinks.

Wer den Beleglink besitzt, erhält 90 Tage lang Zugriff. Der Beleg enthält keine internen Notizen und ist vom angemeldeten Gespräch getrennt.

• Öffnen Sie einen Magic Link und bestätigen Sie die Forscheridentität.
• Lesen Sie Nachweise, Status, den vom Team festgelegten Schweregrad und den bewerteten CVSS-Score.
• Erstellen Sie eine neue Meldung für ein aktives öffentliches Programm.

Ein bestehender Forscherdatensatz ist erforderlich. Anmeldelinks laufen nach sieben Tagen ab. Neuere Links ersetzen ältere. Interne Notizen, CVSS-Vektoren des Teams und private Teamwerkzeuge bleiben verborgen.

• Verfolgen Sie neue Nachrichten in der Reihenfolge ihres Versands.
• Bitten Sie im selben Gespräch um Erläuterungen.
• Verfolgen Sie ungelesene Nachrichten für jedes Teammitglied getrennt.

Interne Notizen und ungesendete Entwürfe bleiben privat. Bei abgelehnten oder bezahlten Meldungen sind Nachrichten im Forscherportal geschlossen.

• Wechseln Sie zwischen allen, eigenen und Teammeldungen. Sehen Sie Security-Handlungsbedarf auf der aktivierten Startseite und in Tagesübersichten.
• Suchen Sie nach IDs oder Titeln. Filtern Sie nach Status, Schweregrad, Zuständigkeit und Prüfergebnis.
• Sortieren Sie nach SLA oder Eingangsdatum. Weisen Sie ausgewählte Meldungen gemeinsam zu oder lehnen Sie sie gemeinsam ab.

Zählwerte berücksichtigen den Meldungszugriff. Die Titelsuche prüft die neuesten 500 sichtbaren Meldungen. Startseitenübersichten beachten Ihre Einstellungen und überspringen unveränderte oder leere Routinewarteschlangen. Öffnen Sie Meldungen und Aktionen, für die Sie berechtigt sind, über OmniSearch.

• Nutzen Sie den Rechner für CVSS-v3.1-Basiswerte.
• Vergleichen Sie den vom Forscher angegebenen Schweregrad mit der Teamentscheidung.
• Sehen Sie den Vorschlag aus der hinterlegten Prämienspanne.

Der aktuelle Rechner nutzt die Basiskennzahlen von CVSS v3.1. Das Team nimmt die Bewertung vor.

• Wählen Sie eine aktive zuständige Person für die Meldung.
• Nutzen Sie eine hinterlegte Standardzuweisung oder die Bereitschaft.
• Bewahren Sie dokumentierte Übergaben zwischen zuständigen Personen.

Eine Zuweisung allein gewährt keinen Zugriff auf eine zugriffsbeschränkte Meldung.

• Zeigen Sie hinterlegte Ziele auf der Richtlinienseite und in llms.txt.
• Sehen Sie einen laufenden Countdown mit den Zuständen im Plan, gefährdet und überschritten.
• Priorisieren Sie die Warteschlange nach Reaktionsfrist.

Die laufende Frist beginnt mit dem Eingang und läuft über alle offenen Zustände hinweg. Behebungsziele unterstützen Inaktivitätsschwellen und rückblickende Berichte. Es sind hinterlegte Zusagen, keine Garantie für personell abgesicherte Reaktionen.

• Wählen Sie Gründe zu Duplikaten, Geltungsbereich oder Reproduzierbarkeit.
• Bewahren Sie die private Begründung bei der Entscheidung.
• Halten Sie den Statuswechsel im Meldungsverlauf fest.

Das Team trifft die Entscheidung. Informativ ist ein eigenes Ergebnis.

• Schreiben Sie allgemeine Notizen, Bewertungen oder Entscheidungsnotizen. Erwähnen Sie Teammitglieder und heften Sie eine Notiz an.
• Sehen Sie, welche Teammitglieder die Meldung zuletzt geöffnet haben.
• Verfolgen Sie Status, Schweregrad, Zuständigkeit, Nachrichten, Nachbesprechungen, Freigaben und Integrationsereignisse.

Notizen bleiben im berechtigten Team. Die Erfassung von Aufrufen lässt sich deaktivieren. Eine dokumentierte Aktion oder Ansicht belegt weder Behebung noch Aufmerksamkeit.

• Teilen Sie einen offenen Entwurf mit Angaben zu Bearbeitung und Versand.
• Sehen Sie eine Warnung, wenn der Forscher seit dem Entwurf geantwortet hat.
• Nutzen Sie den Gesprächskontext für Vorschläge oder ersatzweise eine Vorlage, wenn er nicht verfügbar ist.

Entwürfe zählen nicht als gesendete Antworten. Vom Agenten verfasste Antworten in der Unterhaltung bleiben standardmäßig ungesendete Entwürfe. Ein Programmadministrator kann den direkten Versand aktivieren. Berechtigte Status- oder Prämienänderungen können weiterhin die üblichen Benachrichtigungen auslösen. Ein Agent kann menschliche Arbeit nicht unbemerkt ersetzen.

• Bereiten Sie Eingangsbestätigungen, Rückfragen, Validierungen, Ablehnungen und Prämienangebote vor.
• Legen Sie Kontostandards und abweichende Programmeinstellungen fest.
• Prüfen Sie den aufgelösten Text vor dem Speichern oder Senden einer Antwort.

Elf Vorlagentypen lassen sich verwalten, aber fünf Nachrichtenzwecke werden im Antworteditor verwendet. Automatische Eingangsbestätigungen, Statusänderungen und Anmelde-E-Mails verwenden feste Mailvorlagen.

• Übernehmen Sie Programmname, Kontologo und Markenfarben.
• Richten Sie eine security@-Adresse über eine betriebsbereite E-Mail-Integration ein.
• Senden Sie von Ihrer Adresse mit aktivem Versand als eigener Absender über Startupkit Email.

Ihre Absenderadresse benötigt aktiven Versand als eigener Absender über Startupkit Email und DKIM. Andernfalls nutzt der Versand eine Kit-Adresse. Eingehende E-Mails erstellen keine Security-Meldungen und aktualisieren keine Gespräche.

• Öffnen Sie Vorschläge für ähnliche und verwandte Meldungen.
• Nutzen Sie Treffer desselben Typs, wenn Einbettungen nicht verfügbar sind.
• Folgen Sie direkten Links zu Meldungen, auf die Sie zugreifen dürfen.

Ähnlichkeit gibt einen Vergleichshinweis. Das Team entscheidet über Duplikate. Zugriffsbeschränkte Meldungen bleiben für unberechtigte Mitglieder verborgen.

• Sehen Sie die Empfehlungen Nicht markiert, Überprüfen oder Markieren.
• Prüfen Sie die benannten Qualitätsbedenken.
• Filtern Sie den Posteingang nach dem Prüfergebnis.

Die Prüfung benötigt einen eingerichteten Anbieter und Guthaben. Empfehlungen lehnen keine Meldungen ab.

• Lesen Sie Ergebnis, Technik und betroffenes Feld oder betroffene Nachricht.
• Unterscheiden Sie Schwachstellenmeldungen von Nachfragen, Kontakt-, Support- oder Testanfragen.
• Übernehmen Sie die Warnung in berechtigte MCP- und Assistentenabfragen.

Prüfungen können nicht verfügbar sein. Eine Warnung blockiert weder die Meldung noch eine berechtigte Aktion. Ein unauffälliges Ergebnis ist keine Garantie.

• Suchen Sie nach Forscheridentitäten und filtern Sie deren Meldungsverlauf.
• Prüfen Sie Schweregrad, Prämien und Karma neben den Meldungslinks.
• Sehen Sie nach mindestens fünf Meldungen eine programmspezifische Kennzeichnung für geringe Aussagekraft und die zugehörigen Zählwerte.
• Erfassen Sie als Administrator Karma-Korrekturen über den Assistenten, mit vorgegebenem Grund, ausführender Person und optionalen Nachweisen.

Die Kennzeichnung beruht auf einer Reputationszählregel, die offene Meldungen einschließt. Sie lehnt Meldungen weder ab, sperrt Forscher noch senkt sie den Schweregrad. Globales Karma belegt kein Vertrauen in einem bestimmten Programm.

• Gleichen Sie Endpunktmuster ab und sehen Sie den Grund für den Bereichsvorschlag.
• Übernehmen Sie den Komponentenverantwortlichen, wenn die Meldung noch niemandem zugewiesen ist.
• Archivieren Sie Komponenten unter Erhalt des Meldungsverlaufs.

Vorschläge müssen von einem Menschen bestätigt werden. Der Katalog ordnet bekannte Bereiche zu. Er ermittelt keine Assets und ersetzt keine bereits zuständige Person.

• Verfolgen Sie Teamaktivität mit einer einstellbaren Erinnerungsfolge.
• Pausieren Sie Erinnerungen für drei oder sieben Tage innerhalb des Limits pro Erinnerungszyklus.
• Kennzeichnen Sie, wenn eine Rückfrage auf die Antwort des Forschers wartet.

Aktive Pausen, informative Funde und passende Wartezeiten auf Forscher sind von Erinnerungen ausgenommen. Eine Pause verschiebt den Erinnerungszyklus, setzt die Meldungsfrist aber nicht zurück.

• Wählen Sie eine Ortszeit und bestimmte Teammitglieder.
• Erhalten Sie eine Benachrichtigung in der App und auf ausdrücklichen Wunsch per E-Mail.
• Erledigen oder reaktivieren Sie die Erinnerung, oder laden Sie sie als ICS-Kalendereintrag herunter.

Forscher erhalten diese Erinnerungen nie. Der Versand prüft den Meldungszugriff erneut. Ersteller bearbeiten die Erinnerung, Teilnehmer können sie erledigen oder reaktivieren. Der Kalenderexport ist eine Momentaufnahme ohne laufende Synchronisierung.

• Nutzen Sie manuelle Schichten oder tägliche und wöchentliche Rotationen.
• Berücksichtigen Sie Feiertage und informieren Sie Administratoren über Besetzungslücken.
• Fassen Sie offene Arbeit, nahende Fristen und Schichtaktivität in Slack oder E-Mail zusammen.

Die interne Rotation benötigt mindestens zwei Mitglieder. Die Synchronisierung mit PagerDuty-Dienstplänen benötigt eine eingerichtete Verbindung.

• Wählen Sie Auslöser für neue Meldungen, SLA, kritische Bewertungen und Eskalationen.
• Ordnen Sie Vorfallschweregrade zu, richten Sie wiederholte Fristalarme ein und synchronisieren Sie die aktuelle Bereitschaft.
• Zeigen Sie PagerDuty-Bestätigungen und Abschlussmeldungen aus signierten Webhooks an.

PagerDuty benötigt eine Dienstanbindung und ein passendes Kit-Teammitglied. Alarme mit reduziertem Inhalt schützen zugriffsbeschränkte Meldungen. Der Abschluss eines Vorfalls verifiziert keine Behebung.

• Wählen Sie Projekt oder Team und ordnen Sie Schweregrade den Prioritäten zu.
• Senden Sie ausgewählte Meilensteinkommentare und freigegebene Schwachstellendetails.
• Sehen Sie zwischengespeicherten Status, letzte Synchronisierung, Fehler und defekte Links.

Verbindungen benötigen eine Einrichtung beim Anbieter. Schwachstellendetails erfordern eine Programmerlaubnis und Zustimmung bei jeder Übertragung. Ein abgeschlossenes Ticket schließt die Meldung nicht und belegt keine Bereitstellung. Beim Trennen bleibt das externe Ticket erhalten.

• Verlinken Sie Arbeit in GitHub, GitLab, Jira oder Linear.
• Ergänzen Sie eigene Bezeichnungen und interne URLs.
• Öffnen Sie verknüpfte Verweise direkt im Meldungsverlauf.

Diese Verweise sind nur für das Team bestimmt. Kit lädt ihre Inhalte nicht, synchronisiert keinen Status und leitet daraus keine Bereitstellung ab.

• Führen Sie Behoben und Behebung verifiziert als getrennte Zustände.
• Halten Sie die entscheidende Person aus dem Team und den Zeitpunkt fest.
• Ergänzen Sie optional eine Verifizierungsnotiz.

Kit verlangt für diesen Statuswechsel weder Bereitstellungsnachweise noch einen erneuten Test durch den Forscher und prüft beides nicht unabhängig.

• Halten Sie Ursache und Korrekturmaßnahmen fest.
• Tragen Sie Erkennungs- und Behebungsdatum ein.
• Bewahren Sie einen Versionsverlauf, der nur ergänzt wird.

Die Behebungsdauer nutzt die Daten Ihres Teams und keine beobachtete Dauer einer Bereitstellung.

• Nutzen Sie Ihr Repository, Modell und Ihre Prompts mit einem auf den Lauf begrenzten Token.
• Verfolgen Sie Repository, Commit, Pipeline-Fortschritt, Fehler und Zeitüberschreitungen.
• Prüfen Sie Proof-of-Concept-Text, HTTP-Austausch, Werkzeugausgaben und Abdeckung getrennt vom Ergebnis.

Nur GitLab. Einrichtung und Security-Zugriff sind erforderlich. Läufe enden nach einem eingestellten Zeitraum von einer bis 45 Minuten. Bis zu acht Nachweise mit jeweils 64 KiB und zusammen 256 KiB. Zurückgemeldete Angaben ändern die Bewertung nie automatisch.

• Zeigen Sie einen eigenen Hinweis und angepasste Reaktionszeiten auf Formularen, Belegen und Meldungsseiten.
• Senden Sie nach Aktivierung optional einmalig einen Hinweis zu passenden unbearbeiteten Meldungen.
• Lassen Sie Forscher eine kurze Statusanfrage hinzufügen und den nächsten möglichen Termin sehen.

Warteschlangenhinweise sind standardmäßig aus. Statusanfragen gelten für offene Meldungen nach überschrittenem Erstziel oder 14 Tagen ohne Aktivität, mit sieben Tagen Wartezeit zwischen Anfragen. Sie ändern den Schweregrad nicht.

• Bewahren Sie die Begründung bei der Meldung.
• Zeigen Sie ausstehende, angenommene oder abgelehnte Ergebnisse.
• Wenden Sie das eingestellte Einspruchslimit an und erlauben Sie jeweils nur einen offenen Einspruch.

Zulässige Zustände sind Abgelehnt, Informativ, Bestätigt, Behoben und Behebung verifiziert. Bezahlte Meldungen sind ausgeschlossen. Ein angenommener Einspruch kann eine geschlossene Meldung erneut öffnen. Kit bietet keine unabhängige Schlichtung.

• Bieten Sie namentliche Nennung, anonyme Nennung und keinen Eintrag gleichwertig an.
• Lassen Sie den Forscher den öffentlichen Namen ändern und bewahren Sie die Einwilligungsantwort.
• Zeigen Sie, welche Programme ihn aufführen, und beachten Sie den globalen Widerspruch bei verknüpften Einträgen.

Anfragelinks laufen nach 30 Tagen ab. Unbeantwortete Anfragen können nach sieben Tagen erneut versandt werden. Eine namentliche Zustimmung ändert den globalen öffentlichen Namen. Die Einwilligung allein veröffentlicht noch keine Nennung. Die E-Mail-Adresse im Profil ist schreibgeschützt.

• Heben Sie ausgewählte Einträge mit Meldungszahlen und Würdigungstexten hervor.
• Ergänzen Sie optional einen externen Link auf der Würdigungsseite.
• Erfassen Sie frühere Beiträge aus der Zeit vor Kit manuell.
• Prüfen Sie vorgeschlagene Würdigungen und Anfragen, bei denen die Einwilligung noch aussteht.

Verknüpfte Forscher müssen ausdrücklich eine namentliche oder anonyme Nennung wählen. Ein Widerspruch blendet verknüpfte Einträge und dauerhafte Links aus. Manuelle Einträge sind vom Team verantwortete Texte. Die Hall of Fame lässt sich deaktivieren.

• Beschränken Sie Melde- und Takedown-Formulare mit der gemeinsamen Einladung.
• Prüfen Sie die kurze Zugangsanfrage eines Forschers.
• Versenden Sie genehmigte Einladungen per E-Mail und erneuern Sie den Programmtoken.

Der Link beschränkt die Einreichung, nicht die öffentliche Richtlinie oder sämtliche auffindbaren Endpunkte. Er begründet keine individuelle Mitgliedschaft. Eine Tokenerneuerung widerruft bereits gewährte Browsersitzungen nicht.

• Sehen Sie eine Vorschau von security.txt und senden Sie Ablaufwarnungen über Slack.
• Verlinken Sie llms.txt mit Pflichtfeldern, Dateigrenzen und Meldehinweisen.
• Stellen Sie eine Portal-Sitemap und robots.txt für aktive öffentliche Programme bereit.

Änderungen der Kontaktdatei müssen manuell gespeichert werden. Ablaufwarnungen verwenden den gespeicherten Zeitstempel. llms.txt beschreibt die persönliche Einreichung per Webformular. Sitemap und robots.txt setzen ein aktives öffentliches Programm voraus.

• Kopieren Sie das SDK-Snippet oder die direkte iframe-URL.
• Nutzen Sie die automatische Höhenanpassung des iframe.
• Wählen Sie ein helles oder dunkles Design und legen Sie zulässige Einbettungsursprünge fest.

Dies ist ein eingebettetes Webformular. Leere erlaubte Ursprünge lassen Einbettungen zu. Die Einbettung stellt keine öffentliche API für Meldungseinreichungen bereit.

• Nutzen Sie Honeypot, eingerichtetes Turnstile und Schwellen für kurzfristige Anfragespitzen.
• Prüfen Sie gesperrte E-Mail-Adressen oder IPs, Zeitangaben und abgewiesene Versuche.
• Kennzeichnen Sie wahrscheinliche Fehlalarme bei bewährten Forschern und dokumentieren Sie manuelle Sperren und Freigaben.

Die Maßnahmen verringern Missbrauch, garantieren aber keine missbrauchsfreien Eingänge. Feste Webdrosseln und Programmlimits gelten zugleich. Bei wiederholbaren Fehlern bleibt eingegebener Text erhalten, Dateien müssen erneut angehängt werden. Die Zuordnung bei geteilten IPs erfolgt nach bestem Bemühen.

• Legen Sie Mindest- und Höchstbeträge für sechs Schweregrade fest.
• Veröffentlichen Sie optional die Matrix und erläutern Sie die Bewertung.
• Aktivieren Sie Ermessensboni mit einer eigenen Obergrenze.
• Genehmigen Sie eine Prämie oder einen zulässigen Bonus direkt, ohne Vorschlag des Teams.

Die Prämiengrenzen der Matrix hängen von der Bewertung ab. Nullbeträge in allen Stufen bei deaktivierten Boni erlauben Programme mit reiner Würdigung. Leere Stufen erlauben Ermessensprämien. Die Grenzen begründen weder Budget noch Treuhandguthaben.

• Nutzen Sie verdeckte Abstimmung oder optional ein aufgedecktes Stimmenbild mit Kommentaren und Gegenvorschlägen.
• Kennzeichnen Sie frühere Stimmen bei Betragsänderungen als verfallen.
• Fragen Sie einen Assistenten nach zugänglichen früheren Prämien, zusammengefassten Zahlen und aktuellen Beispielen.

Vorschläge bleiben bis zur Prämiengenehmigung privat. Die Genehmigung überträgt kein Geld. Abfragen früherer Prämien umfassen alle Prämienarten und haben keinen Währungsfilter. Sie zeigen interne Historie, keine Marktvergleichswerte.

• Erfassen Sie die Differenz zum vorherigen Betrag mit Vorzeichen.
• Erläutern Sie dem Forscher die Änderung auf Wunsch.
• Ersetzen Sie eine zurückgezogene Prämie, ohne die Meldungsentscheidung zu ändern.

Abgeschlossene oder laufende Auszahlungen sperren Korrekturen und Rücknahmen. Wird eine Kürzung mitgeteilt, ist eine Notiz erforderlich.

• Steigern Sie den Multiplikator über die Stufen 1,1×, 1,25× und 1,5×.
• Begrenzen Sie den Zusatzbetrag pro Meldung.
• Ergänzen Sie eine persönliche Benachrichtigung oder starten Sie den Multiplikator ohne Mitteilung.

Multiplikatoren gelten sieben bis 90 Tage. Passende bestätigte Funde ab Schweregrad Mittel ermöglichen den Aufstieg. Die Bedingungen werden bei Einreichung festgehalten, die Berechtigung hängt vom bewerteten Schweregrad ab. Boni zählen nicht für den Aufstieg.

• Wählen Sie Anforderungen an Vereinbarung, geprüftes Steuerdokument und verifizierte Behebung.
• Wählen Sie erlaubte Methoden und bei Bedarf eine Empfehlung; Forscher hinterlegen oder aktualisieren ihre PayPal- oder Bankdaten.
• Legen Sie Programmwährung und Mindestauszahlung fest.

Standardmäßig sind eine akzeptierte Vereinbarung, ein geprüftes Steuerdokument und eine verifizierte Behebung erforderlich. Ihr Team überweist über seinen Zahlungsanbieter. Kit dokumentiert den Ablauf.

• Nutzen Sie die integrierte NDA oder den Vereinbarungstext Ihres Programms.
• Holen Sie die ausdrückliche Zustimmung über die Meldung des Forschers ein.
• Bewahren Sie angenommenen Text, Zeitstempel und IP auch nach späteren Änderungen.

Nur der Vereinbarungstyp NDA ist umgesetzt. Dies ist eine optionale Voraussetzung für eine genehmigte, zahlbare Prämie. Es ist weder eine NDA-Zugangshürde vor der Teilnahme noch eine Identitätsprüfung oder ein Dienst für digitale Signaturen.

• Filtern Sie nach bereit, blockiert, bei der Finanzabteilung, bezahlt und fehlgeschlagen.
• Gruppieren Sie gemeinsame Hindernisse nach Forscher und sehen Sie wartende Beträge und die älteste Prämie.
• Erinnern Sie das Team, solange eine Prämie bereit ist. Starten Sie den Erinnerungszyklus neu, wenn sich Hindernisse ändern.

Summen in der Warteschlange sind dokumentierte Beträge, keine hinterlegten Gelder. Erinnerungen überweisen kein Geld und enden, sobald die Prämie keinen Handlungsschritt mehr zulässt.

• Bündeln Sie aktuelle Hindernisse, die der Forscher bei seinen Prämien selbst beheben kann.
• Verlinken Sie direkt auf die nötigen Aktionen im Portal.
• Sehen Sie den letzten Erinnerungszeitpunkt und beachten Sie die Wartezeit vor erneutem Versand.

Das Team sendet die Erinnerung. Sie schließt Genehmigungen und Prüfungen des Teams, Prämien unter dem Mindestbetrag und ungeklärte Prämienobergrenzen aus. Sie ist von automatischen Teamerinnerungen für bereite Auszahlungen getrennt.

• Hinterlegen Sie eine E-Mail-Adresse der Finanzabteilung.
• Teilen Sie Zahlungsangaben über eine signierte Seite; die Finanzabteilung braucht kein Kit-Konto.
• Erfassen Sie Transaktionsreferenz und Angaben zur bestätigenden Person.

Die Finanzabteilung veranlasst die Überweisung außerhalb von Kit. Die Bestätigung ist eine menschliche Dokumentation, kein Bankabgleich. Ohne Finanzadresse erfasst das Team das Ergebnis manuell.

• Unterscheiden Sie ungültige Angaben, zurückgegebene Zahlungen und nicht unterstützte Methoden.
• Bitten Sie den Forscher um Ersatzangaben.
• Ersetzen Sie einen alten Versuch unter Erhalt seines Verlaufs.

Ein Fehler vom Typ Sonstiges bleibt nur für das Team sichtbar, bis Angaben ausdrücklich angefordert werden. Bei nicht unterstützten Methoden muss das Programm gegebenenfalls einen anderen Zahlungsweg anbieten.

• Lesen Sie in der Benachrichtigung die Angaben zu Genehmigung, Anpassung und Abschluss.
• Erkennen Sie Abweichungen zwischen der Prämie und dem genehmigten Gesamtbetrag im Finanzhauptbuch.
• Bitten Sie um eine unabhängige Prüfung, wenn eine Person allein gehandelt hat und eine erhebliche Erhöhung oder ein nicht auswertbarer Genehmigungsverlauf vorliegt.

Wenn dieselbe Person eine reguläre Auszahlung genehmigt und als abgeschlossen erfasst, bleibt eine Benachrichtigung aus. Die Person, die den Abschluss erfasst hat, erhält keine Prüfhinweise. Diese Hinweise erscheinen nach dem erfassten Abschluss. Sie sperren keine Auszahlung und überweisen kein Geld. Für E-Mails gelten die jeweiligen Benachrichtigungseinstellungen und der Urlaubsmodus.

• Nutzen Sie eine Rastervorschau zur PDF-Prüfung.
• Halten Sie Ablehnungsgründe und die prüfende Person fest.
• Sehen Sie Dokumentaufrufe, laden Sie Originale herunter und senden Sie geplante Erneuerungshinweise.

Zugriff erfordert eine zuerkannte Prämie sowie eine Team- oder Finanzberechtigung. Erneuerungshinweise verwenden eine dreijährige Anwendungsschwelle und stellen keinen rechtlichen Ablauf fest. Dabei werden keine Steuererklärungen abgegeben und keine Steuerberatung erbracht.

• Halten Sie die handelnde Person und den Zeitpunkt jedes Ereignisses fest.
• Unterscheiden Sie den Änderungsbetrag von der daraus entstandenen Prämie.
• Führen Sie abgeschlossene Auszahlungen getrennt von Genehmigungen.

Einträge im Finanzhauptbuch dokumentieren Zahlungsbestätigungen. Kit überweist kein Geld und gleicht keine Bankkonten ab.

• Gewähren Sie Zugriff auf eine einzelne Meldung.
• Lassen Sie leitende Berechtigte Zugriff und Zuordnung verwalten.
• Wenden Sie die Meldungsgrenze auf Listen, Kennzahlen und MCP-Abfragen an.

Security-Administratoren behalten Zugriff. Eine Zuweisung allein gewährt keinen. Externe Freigaben und Datenübertragungen an Integrationen haben eigene Grenzen.

• Verifizieren Sie das eingeladene Postfach und sammeln Sie optional Kollegenkommentare, die nur das Team sieht.
• Teilen Sie technische Inhalte und Forscheranhänge über berechtigte Downloads.
• Widerrufen Sie den Zugriff und bewahren Sie Aufruf-, Ablauf- und Weitergabeverlauf.

Der Zugriff endet nach sieben Tagen. Allgemeine Links gewähren jedem Inhaber schreibgeschützten Zugriff. Forscheridentität, Prämien und interne Notizen bleiben verborgen, technischer Text und Dateinamen werden geteilt. Das Schließen widerruft bestehende Freigaben.

• Nutzen Sie die Vorlagen für Sicherheitsleitung und Sicherheitsingenieur.
• Wählen Sie Modulmitglied, Administrator oder keinen Zugriff.
• Trennen Sie Auszahlungs- und Steuerarbeit über die Finanzbefugnis.

Kontoadministratoren behalten übergreifenden Zugriff. Hiring-Gastzugang ist keine Security-Rolle.

• Verschlüsseln Sie Titel, Endpunkt, Beschreibung und Reproduktionsschritte.
• Verschlüsseln Sie E-Mail-Adresse, Namen und Zahlungsangaben des Forschers.
• Prüfen Sie Berechtigungen für Steuerdokumente und Anhänge gesondert.

Dies ist Rails-Verschlüsselung gespeicherter Daten, keine Ende-zu-Ende-Verschlüsselung. Ein einstellbarer Löschplan pro Meldung ist nicht vorgesehen.

• Wählen Sie Ansichten für sieben, 30 oder 90 Tage.
• Gliedern Sie Meldungen nach Schweregrad, Zustand und Schwachstellentyp.
• Schließen Sie zugriffsbeschränkte Meldungen ohne Berechtigung aus Aggregaten aus.

Zahlungssummen nutzen abgeschlossene Auszahlungsdatensätze und trennen Währungen. Kennzahlen belegen keine bereitgestellten Behebungen.

• Exportieren Sie Meldungs- und SLA-Übersichten.
• Nehmen Sie Ausschnitte der für Forscher sichtbaren Kommunikation auf.
• Bewahren Sie handelnde Personen, Ereignisse und Beträge aus dem Finanzbereich im Export.

Programmweite Exporte erfordern Administratorberechtigung. Kommunikationsprotokolle enthalten keine internen Notizen oder ungesendeten Entwürfe. Exporte unterstützen die Prüfung, bescheinigen aber keine Konformität.

• Nehmen Sie Kurzfassung, Schweregrad und Ereignisverlauf auf.
• Bewahren Sie Nachbesprechung, Behebungsverweise und Teamfreigabe zusammen.
• Listen Sie Dateinamen, Größen und Prüfsummen der Anhänge in einem Verzeichnis.

Nur auf Englisch und für berechtigte Teammitglieder verfügbar. Anhänge werden aufgelistet, nicht gebündelt. Das Dossier enthält private Inhalte und unterscheidet sich von der extern freigegebenen Seite. Der Konsistenzprüfwert bescheinigt keine Unveränderlichkeit.

• Prüfen Sie Zugangsdaten und Ressourcen bei der Einrichtung.
• Starten Sie eine manuelle Synchronisierung oder eine Hintergrundaktualisierung.
• Sehen Sie Synchronisierungszeiten und Verbindungsfehler.

Ihre Vanta-Zugangsdaten, Ressourcen und Security-Zugriff sind erforderlich. Bewertete informative Meldungen behalten den Kontext angenommen/keine Behebung. Unbewertete Meldungen werden ausgelassen. Dies synchronisiert Nachweise und führt keinen Scan aus.

• Leiten Sie Meldungsbenachrichtigungen in den zugehörigen Thread.
• Nutzen Sie authentifizierte Aktionen für Sichtung, Einsprüche und Stillstand.
• Fragen Sie den Bot nach einer Meldung und speichern Sie eine interne Notiz.

Slack muss eingerichtet sein. Bot-Unterstützung verbraucht Guthaben. Zugriffsbeschränkte Meldungen erhalten keine Kanalkarten. Wird eine bestehende Meldung beschränkt, entfernt dies Bot-Inhalte, kann aber menschliche Antworten und frühere Kopien nicht zurückholen.

• Prüfen Sie den konfigurierten Geltungsbereich, den CVSS-Kontext und zugängliche frühere Meldungen.
• Rufen Sie erlaubte Nachweisdateien ab und nutzen Sie Vorgehensweisen für Sichtung, Prämien und Nachbesprechungen.
• Prüfen Sie bei jedem Aufruf handelndes Mitglied, Rolle und Meldungsbeschränkungen erneut.

Vom Agenten verfasste Antworten in der Unterhaltung bleiben standardmäßig ungesendete Entwürfe. Ein Programmadministrator kann den direkten Versand aktivieren. Berechtigte Status- oder Prämienänderungen können weiterhin die üblichen Benachrichtigungen auslösen. Schreibaktionen erfordern die passende Rolle des handelnden Mitglieds, Zugriff auf die Meldung und ein Abonnement. Externes MCP nutzt OAuth-Lese- und Schreibberechtigungen. Unterstützung in der App nutzt das eingerichtete Guthaben.

• Empfangen Sie Ereignisse zu Einreichung, Sichtung, Bewertung, Zuweisung und SLA.
• Verfolgen Sie Prämiengenehmigungen und dokumentierte Zahlungen.
• Nutzen Sie einen begrenzten strukturierten Meldungsdatensatz.

Die Nutzdaten enthalten keine verschlüsselten Titel, Meldungstexte oder Kontaktfelder. Webhooks übertragen Ereignismetadaten statt eines vollständigen Meldungsexports.

• Untersuchen Sie bis zu zehn Adressen zusammen.
• Sehen Sie Quelle, Aktualität und Status für jeden Abschnitt.
• Öffnen Sie eine IP aus einer Meldung oder fügen Sie eine Adresse in Omnisearch ein.

Öffentliche Informationen werden global zwischengespeichert. Dies ist eine Abfrage, kein aktiver Scan. Anbieter mit Zugangsschlüssel können ohne Einrichtung ausfallen. Ein ungefährer Standort belegt keinen Wohnsitz einer Person.

• Fügen Sie bis zu 25 Adressen ein.
• Prüfen Sie den Grund für jedes Ergebnis.
• Überspringen Sie DNS für eine reine Sperrlistenprüfung.

Ein unauffälliges Ergebnis belegt weder die Existenz eines Postfachs noch den E-Mail-Empfang. Ergebnisse werden bei Bedarf ohne dauerhafte Speicherung berechnet. Anfragelimits pro Konto gelten.

• Prüfen Sie bis zu zehn Adressen mit einer Anfrage.
• Sehen Sie Quellenlinks, Daten der Vorfälle und offengelegte Datentypen.
• Unbekannte Ergebnisse oder fehlgeschlagene Prüfungen bleiben von einem Ergebnis ohne bekannte Datenlecks getrennt.

Kostenpflichtige Konten erhalten monatlich 25 neue Abfragen pro bezahltem Platz. Ergebnisse bleiben zwölf Stunden im Cache; Cache-Treffer und fehlgeschlagene Prüfungen verbrauchen kein Kontingent. Diese Abfragen benötigen keine Postfachbestätigung und starten keine tägliche Überwachung.

• Anmeldeadressen des Teams werden bei einem kostenpflichtigen Konto täglich geprüft.
• Fügen Sie pro bezahltem Platz bis zu drei bestätigte Gemeinschafts- oder Funktionsadressen hinzu.
• Betroffene Mitglieder und Konto-Admins erhalten Warnungen; bei Zusatzadressen nur die Admins.

Die täglichen Prüfungen nutzen HaveIBeenPwned. Admins fügen Zusatzadressen hinzu; die jeweiligen Inhaber bestätigen sie per E-Mail. Warnungen betreffen neu erkannte Datenlecks, die der Quelle in den letzten 30 Tagen hinzugefügt wurden. E-Mail-Warnungen richten sich nach den Benachrichtigungseinstellungen.

• Nutzen Sie einen eigenständigen Upload oder einen Meldungsanhang.
• Lassen Sie Skripte, eingebettete Dateien, Aktionen und Textebenen aus der neuen Kopie weg.
• Verfolgen Sie Verarbeitung und Aufbewahrung. Löschen Sie nach Gebrauch Kopien aus separaten Uploads.

PDFs bis 25 MB werden zu reinen Bildkopien und sieben Tage aufbewahrt. Eigenständige Rohuploads werden nach der Verarbeitung gelöscht. Übernommene Nachweise aus Meldungen, Takedowns und Steuerunterlagen bleiben unverändert.

• Erfassen Sie URL, Domain, IP, Marke, Einstufung, Erkennungszeitpunkt und Nachweise.
• Geben Sie dem Meldenden einen Beleg und schreiben Sie die eingerichteten Empfänger per E-Mail an.
• Lassen Sie Empfänger über einen signierten Link den Eingang bestätigen oder Maßnahmen erfassen, mit Ergebnisnotizen und Statusverlauf.

Optional und standardmäßig aus. Die Einladungsbeschränkung gilt. Organisation und E-Mail-Adresse des Meldenden sind Pflicht. Empfänger signierter Links benötigen kein Kit-Konto. Eine dokumentierte Maßnahme belegt keine Entfernung. Kit bietet keinen betreuten Takedown-Dienst.