Sicherheitsrichtlinie

Zuletzt aktualisiert: 12. Oktober 2026

dlpbench.com ist ein kostenloser Bench zum Testen von DLP. Wir nehmen absichtlich Verkehr an, der wie ein Datenleck aussieht, damit Ihre Kontrollen ihn sehen und darauf reagieren können. Verhalten, das auf einer normalen Produktionswebsite merkwürdig wirkte, ist hier oft so gewollt.

Nachfolgend: was wir nicht als Schwachstelle werten, welche Funde wir prüfen und wohin Sie schreiben. Nutzungsregeln und Informationen über Besucher stehen in den Nutzungsbedingungen.

Wie Sie ein Sicherheitsproblem melden

UI-Fehler und Produktideen gehören ins Kontaktformular. Die Adresse unten nur für Sicherheitsthemen verwenden.

An: info@dlpbench.com

Betreff: Security: short description

In Ihrer Nachricht hilft es, Folgendes anzugeben:

1. was Sie gefunden haben und warum es relevant ist;
2. wie man es reproduziert (curl oder ein kurzes Skript);
3. welcher Host oder welche Komponente betroffen ist;
4. ein Name oder Handle für die Danksagung — falls gewünscht.

Wir bestätigen den Eingang, bewerten den Fund und beheben Probleme nach Schweregrad. Die Dauer hängt von der Auswirkung ab; das ist ein praktisches Ziel, kein vertragliches SLA.

Führen Sie keine Denial-of-Service-Angriffe durch, löschen Sie keine Testdateien anderer Nutzer und pivotieren Sie nicht von unserem Dienst auf die Infrastruktur des Hosters oder auf fremde Drittanbieter-CDNs und -Dienste.

Wir begrüßen gutgläubige Forschung im Einklang mit dieser Richtlinie. Diese Seite beschreibt die Absicht des Betreibers gegenüber Forschern; sie ist kein gesonderter rechtlicher Safe Harbor und keine Gewährleistung.

Was keine Schwachstelle ist

Zu den folgenden Punkten lautet unsere Antwort: „funktioniert wie vorgesehen.“

Offener FTP-Benutzername und Passwort

Zugangsdaten auf der Seite FTP-Test werden absichtlich veröffentlicht. Sie zu finden oder erneut zu veröffentlichen ist kein Vorfall.

Test-POST akzeptiert jeden Body

/api/http-post/ ist der Hauptkanal des Bench. Sie dürfen JSON, Formulardaten, SQL-Injection-ähnliche Strings, Testkartennummern oder eine Binärdatei senden: Der Server liest den Body und antwortet mit Erfolg. Hat Ihr Browser ein Session-Cookie, ist das Ergebnis kurz nur für Sie sichtbar. Ein 200 auf eine verdächtig wirkende Anfrage ist normales Bench-Verhalten, kein Loch.

Gemeinsamer kurzlebiger Speicher

Auf gemeinsamen FTP- und Object-Kanälen sind Nutzer bis zur Bereinigung nicht voneinander isoliert. Die Aufbewahrung ist kurz; wir ratenlimitieren Anfragen von einer einzelnen IP. Laden Sie dort nichts Vertrauliches hoch.

„Echt wirkende“ SSN-, IBAN- und Kartennummern in Beispielen

Nummern sind so gewählt, dass Formatprüfungen (Prüfsummen, Luhn und vergleichbare) bestehen. Sie sind nicht mit lebenden Personen verknüpft. Ihre Veröffentlichung ist kein Datenbank-Leak.

Kein Filter für „verdächtige“ Inhalte bei Test-POSTs

Würden wir typische Test-Payloads an der Tür blockieren, würde die DLP-Übung nicht mehr funktionieren.

Was im Scope liegt

• die Website dlpbench.com und ihre Anwendung;
• no-ssl.dlpbench.com und die Web-Seite von s3.dlpbench.com;
• Zugriff auf Daten jenseits dessen, was absichtlich öffentlich ist — zum Beispiel Betreiber-Post, Website-Dateien außerhalb der Testverzeichnisse oder Konfigurationsgeheimnisse;
• XSS und CSRF, die andere Besucher betreffen;
• Fehlkonfiguration, die Quellcode mit Geheimnissen, .env-Dateien oder private Verzeichnisse freilegt.

Probleme in der Fornex-Infrastruktur, bei Drittanbieter-CDNs oder anderen Vendoren gehören zu deren Betreibern. Wie wir einen Drittanbieterdienst auf unseren Seiten einbinden, dürfen Sie uns melden.

security.txt

/.well-known/security.txt (RFC 9116) listet dieselbe E-Mail info@dlpbench.com und einen Link zu dieser Seite.