RESPONSIBLE DISCLOSURE PROGRAM
Als Leader im Digital Banking liegt Swissquote die Informationssicherheit sehr am Herzen.
Die Vertraulichkeit, Integrität und Verfügbarkeit unserer Systeme und Dienstleistungen zu wahren, stellt einen entscheidenden Aspekt unseres täglichen Betriebs dar.
Das Programm
Die Swissquote Group betreibt zurzeit kein Bug‑Bounty‑Programm und erlaubt keine aktive Suche nach Schwachstellen auf ihren Websites und in ihren Diensten.Sollten Sie dennoch eine Sicherheitslücke entdecken, würden wir uns über Ihre Mitwirkung bei der verantwortungsvollen Offenlegung dieser Schwachstelle sehr freuen.
Die Meldung sollte per E‑Mail erfolgen an: vulnerability_disclosure@swissquote.ch und alle nach Ihrer Ansicht notwendigen Informationen beinhalten, um das Problem zu erklären und zu erläutern, wie Sie das Problem entdeckt haben.
Ein typischer Schwachstellenbericht sollte folgende Informationen enthalten:
- eine Beschreibung der Schwachstelle und ihrer möglichen Auswirkungen;
- die Liste der betroffenen Hosts, Dienste oder URLs;
- die erforderlichen Schritte zur Reproduktion der Schwachstelle;
- wie Sie die Schwachstelle identifiziert haben;
- Ihre Kontaktdaten.
Bitte beschreiben Sie in jedem eingesandten Bericht nur eine einzige Schwachstelle, ausser für messbare Auswirkungen ist eine Kette erforderlich. Wir werden den Eingang Ihres Berichts bestätigen, jedoch keine weiteren Informationen über unsere Erkenntnisse bereitstellen.
Strictly Forbidden Activities
As stated above, active research of vulnerabilities (e.g., scans) is not authorised. Also note that the following activities are strictly forbidden and monitored:
- any activity that could lead to the disruption of our services (DoS, DDoS, spam, etc...);
- any activity that would threaten the integrity of user data;
- any activity that would breach the confidentiality of user data;
- usage of automated tools to find vulnerabilities;
- any fraudulent transaction.
Swissquote Group reserves the right to bring any legal action against any person acting in a manner considered as illegal, illicit or as infringing the above.
Scope
This program applies to the following:
- domains where Swissquote Group Holding SA is listed as the Registrant Organisation, more specifically domains under "swissquote.ch" and "swissquote.com"; "library.swissquote.com" is excluded from the above;
- domains where YUH SA is listed as the Registrant Organisation;
- mobile applications published by Swissquote Mobile on the Android Play Store;
- mobile applications published by Swissquote on the Apple Store.
Certain vulnerabilities are considered out of scope for this program. These include:
- outdated or vulnerable software versions if no clear exploitability can be demonstrated;
- bugs requiring non‑trivial prior knowledge, such as a session token, as prerequisite;
- missing best practices in SSL/TLS configuration;
- social engineering related issues;
- physical security of Swissquote Group property.