Bug-Bounty-Programm
Wir setzen alles daran, maximale Sicherheit und den Schutz der Nutzerdaten zu gewährleisten. Wenn du eine Schwachstelle in h2.nexus findest, melde sie vertraulich — und wir belohnen dich mit 1 bis 5.000 $ pro gültigem Bug, zahlbar per Bankkarte, Kryptowährung oder Banküberweisung.
- $1 – $5,000Prämienspanne
- Karte · Kryptooder Überweisung
- < 24 herste Rückmeldung
- *.h2.nexusim Geltungsbereich
Über das Programm
Unser Bug-Bounty-Programm belohnt Forscher, die Sicherheitslücken auf der gesamten h2.nexus-Plattform verantwortungsvoll finden und melden — Website, Kundenbereich, Free-Server-Terminal und die dahinterliegende Infrastruktur. Das Ziel ist einfach: echte Sicherheitsprobleme beheben, bevor sie missbraucht werden, und die Menschen fair belohnen, die uns dabei helfen.
Jede Meldung wird von unserem Team geprüft. Ist dein Fund gültig, neu und im Geltungsbereich, zahlen wir eine Prämie je nach Schweregrad und realer Auswirkung. Je schwerwiegender und klarer nachgewiesen das Problem, desto höher die Auszahlung — bis zu 5.000 $ für kritische Schwachstellen.
Prämien nach Schweregrad
Die Prämie hängt von Auswirkung und Ausnutzbarkeit des Bugs ab. Die Spannen unten dienen zur Orientierung — der endgültige Betrag wird im Einzelfall festgelegt.
Remote Code Execution, Umgehung der Authentifizierung, vollständige Konto- oder Server-Übernahme, Zugriff auf Daten oder Guthaben anderer Kunden, Manipulation von Zahlungen.
Server-Side Request Forgery mit echter Auswirkung, gespeichertes XSS im Control Panel, IDOR mit Offenlegung sensibler Daten, Rechteausweitung.
Reflektiertes XSS mit Auswirkung, CSRF bei sensiblen Aktionen, Offenlegung sensibler Informationen, fehlerhafte Zugriffskontrolle mit begrenzter Reichweite.
Tippfehler, inhaltliche Fehler, visuelle oder Layout-Probleme und ähnliche Kleinigkeiten.
Schweregrad und endgültige Prämie werden von h2.nexus anhand von CVSS, Ausnutzbarkeit und realer Auswirkung bestimmt. Bei Duplikaten wird nur die erste gültige Meldung belohnt.
Geltungsbereich
Teste nur die unten aufgeführten Ziele und ausschließlich mit Konten und Daten, die dir gehören.
Im Geltungsbereich
- Alles im h2.nexus-Projekt, einschließlich aller Subdomains
- my.h2.nexus — der Kundenbereich (BillManager 6)
- vm.h2.nexus — das Server-Verwaltungspanel (VMManager 6)
- vm-promo.h2.nexus — das Panel der Promo-Server (VMManager 6)
- Unsere Telegram-Bots: @rdpbot, @h2nexus_info_bot, @bgp_robot
- …und die weiteren Dienste und Infrastruktur des Projekts
Außerhalb des Geltungsbereichs
- Ausgaben automatischer Scanner ohne funktionierenden Proof of Concept
- Fehlende Best-Practice-Header ohne nachgewiesene Auswirkung
- DoS und DDoS — Denial-of-Service- und Ressourcenerschöpfungs-Angriffe
So meldest du
Eine gute Meldung hilft uns, das Problem schnell nachzuvollziehen und zu beheben — und dir, schneller bezahlt zu werden.
- 1
Bug beschreiben
Erkläre die Schwachstelle, die betroffene URL oder den Endpunkt und die Sicherheitsauswirkung klar und verständlich.
- 2
PoC hinzufügen
Füge genaue Schritte zur Reproduktion, die verwendeten Anfragen oder Payloads sowie Screenshots oder ein kurzes Video bei.
- 3
Schreib uns
Sende alles an root@h2.nexus und warte auf unsere Antwort. Bitte behandle das Problem vertraulich, bis es behoben ist.
Sende deine Meldung an root@h2.nexus
Schick uns eine klare Beschreibung und einen Proof of Concept. Wir prüfen jede Meldung, antworten so schnell wie möglich und belohnen gültige Funde im Geltungsbereich.
Bitte füge Schritte zur Reproduktion, die Auswirkung sowie ggf. unterstützende Screenshots oder Logs bei.