Programma di segnalazione delle vulnerabilità

Programma di divulgazione delle vulnerabilità

In Pandectes prendiamo sul serio la sicurezza e la privacy dei nostri utenti, dei nostri partner e dei dati. Ci impegniamo a mantenere un ambiente sicuro e accogliamo con favore le segnalazioni dei ricercatori di sicurezza e della comunità più ampia per aiutarci a raggiungere questo obiettivo.

Se ritiene di aver individuato una vulnerabilità di sicurezza nei nostri sistemi, servizi o applicazioni, La invitiamo a segnalarla in modo responsabile.

Come segnalare una vulnerabilità

Invii la Sua segnalazione a:

security@pandectes.io

Includa nella segnalazione le seguenti informazioni:

Una descrizione dettagliata della vulnerabilità
I passaggi per riprodurre il problema (se applicabile)
Eventuali URL, screenshot o frammenti di codice pertinenti
Il Suo nome o pseudonimo (facoltativo) per il riconoscimento

Che cosa ci aspettiamo da Lei

Non sfrutti la vulnerabilità e non acceda a dati oltre quanto necessario per dimostrare il problema.
Eviti azioni che potrebbero compromettere l’integrità o la disponibilità dei nostri servizi (ad esempio DoS, scansioni massive).
Ci conceda un tempo ragionevole per analizzare e risolvere il problema prima di renderlo pubblico.
Agisca in buona fede durante tutto il processo di divulgazione.

Che cosa può aspettarsi da noi

Confermeremo tempestivamente la ricezione della Sua segnalazione.
Analizzeremo il problema e lavoreremo per risolverlo il più rapidamente possibile.
Se richiesto e opportuno, riconosceremo pubblicamente il Suo contributo.
Non intraprenderemo azioni legali contro i ricercatori che seguono in buona fede questa politica di divulgazione responsabile.

Tempi di conferma e di risoluzione

Conferma:

Ci impegniamo a confermare la ricezione di tutte le segnalazioni di vulnerabilità entro 48 ore.

Risoluzione:

Vulnerabilità critiche: il nostro obiettivo è risolverle entro 30 giorni dalla verifica.
Vulnerabilità di gravità alta: puntiamo a risolverle entro 45 giorni, con una procedura accelerata.
Vulnerabilità di gravità media e bassa: vengono gestite nell’ambito del nostro normale ciclo di rilascio.

Esclusioni

Pur apprezzando ogni segnalazione relativa alla sicurezza, i seguenti casi sono di norma esclusi da questo programma:

Spam o attacchi di ingegneria sociale
Problemi di rate limiting o di attacchi brute force senza un chiaro rischio di sfruttamento
Header di sicurezza mancanti che non comportano un impatto diretto
Problemi su piattaforme o servizi di terze parti non sotto il controllo di Pandectes

Il nostro impegno per la sicurezza

La sicurezza è una responsabilità condivisa. La ringraziamo per l’aiuto nel mantenere al sicuro Pandectes e i nostri utenti.