Bug-Bounty

Was wir nicht belohnen

• Unsere Website, ihre API und unsere Server: z-text.com mit allen Subdomains, Checkout, Zahlungen und Gutscheine.
• Abgesehen von dieser einen Ausnahme alles, was mehr als die beiden Ausgangspunkte erfordert: die Ausführung eines anderen Programms oder Befehls auf dem Gerät, ein Debugger, Root oder Jailbreak, eine veränderte App, ein Backup oder eine Kopie des Gerätespeichers oder die Seed-Phrase.
• Das Erraten einer PIN oder eines Passworts.
• Was das Betriebssystem speichert oder anzeigt: Benachrichtigungen, Screenshots, App-Vorschauen, die Zwischenablage, der Name der App in Systemlisten.
• Was die Panik-PIN und „Wallet vollständig löschen“ bewusst bestehen lassen. Sie löschen alles, was Z-Text für das Konto auf dem Gerät speichert: die Seed-Phrase, private Schlüssel, Nachrichten, Kontakte und Einstellungen; danach startet die App neu mit neuen, leeren Dateien. Backup-Dateien, die Sie selbst gespeichert haben, etwa eine .ztbk-Datei auf einem USB-Stick oder im Cloud-Speicher, bleiben unberührt, ebenso Kopien, die das Betriebssystem außerhalb der App anlegt: Benachrichtigungsverlauf, System-Backups und Speicher-Snapshots.
• Was ein Netzwerkbeobachter oder der Betreiber des Nodes, mit dem Sie sich verbinden, sehen kann.
• Das Umgehen von Manipulations-, Root- oder Screenshot-Prüfungen für sich genommen oder das Freischalten kostenpflichtiger Funktionen auf Ihrem eigenen Gerät, ohne einen Beleg zu erzeugen.
• Der Stealth-Modus: Er ist eine Tarnung, kein Schloss.
• Einstellungen und Installationsinformationen, die kein Nachrichteninhalt sind.
• Gratisangebote, Aktionen, Gutscheine, Empfehlungsprämien, Zahlungstoleranzen und Rundung sowie alles, was uns lediglich Gebühren oder Verfügbarkeit kostet.
• Funde zu CAPTCHA, Rate-Limits und Sperrungen.
• In unserer Dokumentation beschriebenes Verhalten, uns bereits bekannte Probleme und bekannte Schwachstellen in Komponenten von Drittanbietern.
• UI- und Funktionsfehler (bitte senden Sie sie trotzdem als normale Fehlermeldungen), Denial of Service, fehlende Sicherheits-Header, Scanner-Ausgaben und Social Engineering.
• Dienste, die wir nicht entwickeln: Zahlungsdienstleister, Cloudflare, die BitcoinZ- und Zcash-Netzwerke sowie der standardmäßige lightwalletd hinter light.z-text.com.

Meldungen

• Eine Meldung nimmt ihren Platz ein, sobald sie vollständig ist: das von Ihnen erzielte Ergebnis, Schritte, die wir auf einem gewöhnlichen Gerät wiederholen können, und ein Nachweis. Alles Frühere sichert kein Datum.
• Sie muss am Tag Ihrer Meldung mit der neuesten öffentlichen Version auf unserer Downloads-Seite funktionieren. Eine Korrektur, die wir danach aufgrund Ihrer Meldung ausliefern, disqualifiziert sie nicht.
• Können wir sie nicht reproduzieren, wird sie geschlossen. Erhalten wir innerhalb von 14 Tagen keine Antwort von Ihnen, wird die Meldung geschlossen.

So melden Sie

Senden Sie Ihren Bericht per E-Mail an [email protected]. Eine einfache E-Mail genügt; PGP-Verschlüsselung ist optional und ganz Ihnen überlassen — wir setzen sie nie voraus. Wir bemühen uns, innerhalb von 72 Stunden zu bestätigen und die Offenlegung von dort aus zu koordinieren.

Regeln

• Testen Sie nur die App, auf Ihren eigenen Geräten und mit Ihren eigenen Wallets. Testen Sie nicht unsere Website, ihre API oder unsere Server. Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, verändern oder zerstören Sie sie nicht, führen Sie keine Denial-of-Service-Tests durch und betreiben Sie kein Social Engineering.
• Melden Sie zuerst vertraulich. Eine Veröffentlichung vor unserer Zustimmung beendet die Teilnahmeberechtigung.
• Teammitglieder und Auftragnehmer sind nicht teilnahmeberechtigt.
• Wir gehen nicht rechtlich gegen Forschung in gutem Glauben vor, die diese Regeln einhält.

Wie wir entscheiden

• Wir entscheiden, ob sich eine Meldung qualifiziert, ob sie ein Duplikat ist, über ihren Schweregrad und über ihre Belohnung. Dem Wortlaut eines aufgeführten Ergebnisses zu entsprechen, genügt nicht; wir bewerten, was tatsächlich erreicht wurde.
• Eine Belohnung pro zugrunde liegender Ursache, so wie wir sie bestimmen, über alle Plattformen, Versionen und Varianten hinweg. Eine Kette von Schritten ist ein Fund. Die erste vollständige Meldung erhält die Belohnung.

Zahlung und Änderungen

• Belohnungen werden in der Reihenfolge der Annahme gezahlt, ausschließlich aus diesem Pool, in ZEC zum Marktpreis zum Zeitpunkt des Versands. Kann der Pool eine Belohnung nicht vollständig decken, erhält die meldende Person, was übrig ist, und das Programm endet.
• Zeitangaben sind in UTC. Eine Meldung gilt als eingegangen, sobald sie vollständig bei [email protected] eintrifft.
• Wir können das Programm ändern oder beenden. Eine Meldung wird nach dem Text bewertet, der an dem Tag veröffentlicht war, an dem sie vollständig eingetroffen ist.

Verlauf der Bedingungen

• 4. Juni bis 4. Oktober 2026: Phase 1. 0,1 bis 3 ZEC pro Fund, aus einem Pool von 7 ZEC.
• Ab dem 5. Oktober 2026: Phase 2, Beträge in USD. ZEC stieg von etwa 430 $ auf etwa 1.500 $, sodass dieselben ZEC-Stufen rund das Dreieinhalbfache dessen zahlten, was wir beabsichtigt hatten. Meldungen, die vor dem 5. Oktober eingehen, werden nach den Bedingungen von Phase 1 bezahlt.
• Ab dem 10. Oktober 2026: Diese Seite legt vollständig dar, welche Ergebnisse belohnt werden und von welchen Ausgangspunkten aus. Die Belohnungsbeträge sind unverändert; die Stufe „Niedrig“, die nur eine Danksagung vorsah, entfällt. Früher eingegangene Meldungen werden nach dem früheren Text bewertet.
• Ab dem 14. Oktober 2026: Das Programm umfasst nur die Z-Text-App. Unsere Website, ihre API und unsere Server liegen außerhalb des Programms, und die beiden Server-Ergebnisse unter „Kritisch“ und „Hoch“ entfallen. Die Belohnungsbeträge sind unverändert. Früher eingegangene Meldungen werden nach dem früheren Text bewertet.
• Ab dem 16. Oktober 2026: Die Seite nennt, was die Panik-PIN und „Wallet vollständig löschen“ löschen und was sie bestehen lassen: Backup-Dateien, die Sie selbst gespeichert haben, und Kopien, die das Betriebssystem außerhalb der App anlegt. Die Belohnungsbeträge sind unverändert. Früher eingegangene Meldungen werden nach dem früheren Text bewertet.
• Jede Auszahlung wird mit Datum, Schweregrad, den geltenden Bedingungen und ihrer Transaktion aufgeführt.