Programma di segnalazione delle vulnerabilità
Programma di divulgazione delle vulnerabilità
In Pandectes prendiamo sul serio la sicurezza e la privacy dei nostri utenti, dei nostri partner e dei dati. Ci impegniamo a mantenere un ambiente sicuro e accogliamo con favore le segnalazioni dei ricercatori di sicurezza e della comunità più ampia per aiutarci a raggiungere questo obiettivo.
Se ritiene di aver individuato una vulnerabilità di sicurezza nei nostri sistemi, servizi o applicazioni, La invitiamo a segnalarla in modo responsabile.
Come segnalare una vulnerabilità
Invii la Sua segnalazione a:
Includa nella segnalazione le seguenti informazioni:
- Una descrizione dettagliata della vulnerabilità
- I passaggi per riprodurre il problema (se applicabile)
- Eventuali URL, screenshot o frammenti di codice pertinenti
- Il Suo nome o pseudonimo (facoltativo) per il riconoscimento
Che cosa ci aspettiamo da Lei
- Non sfrutti la vulnerabilità e non acceda a dati oltre quanto necessario per dimostrare il problema.
- Eviti azioni che potrebbero compromettere l’integrità o la disponibilità dei nostri servizi (ad esempio DoS, scansioni massive).
- Ci conceda un tempo ragionevole per analizzare e risolvere il problema prima di renderlo pubblico.
- Agisca in buona fede durante tutto il processo di divulgazione.
Che cosa può aspettarsi da noi
- Confermeremo tempestivamente la ricezione della Sua segnalazione.
- Analizzeremo il problema e lavoreremo per risolverlo il più rapidamente possibile.
- Se richiesto e opportuno, riconosceremo pubblicamente il Suo contributo.
- Non intraprenderemo azioni legali contro i ricercatori che seguono in buona fede questa politica di divulgazione responsabile.
Tempi di conferma e di risoluzione
Conferma:
- Ci impegniamo a confermare la ricezione di tutte le segnalazioni di vulnerabilità entro 48 ore.
Risoluzione:
- Vulnerabilità critiche: il nostro obiettivo è risolverle entro 30 giorni dalla verifica.
- Vulnerabilità di gravità alta: puntiamo a risolverle entro 45 giorni, con una procedura accelerata.
- Vulnerabilità di gravità media e bassa: vengono gestite nell’ambito del nostro normale ciclo di rilascio.
Esclusioni
Pur apprezzando ogni segnalazione relativa alla sicurezza, i seguenti casi sono di norma esclusi da questo programma:
- Spam o attacchi di ingegneria sociale
- Problemi di rate limiting o di attacchi brute force senza un chiaro rischio di sfruttamento
- Header di sicurezza mancanti che non comportano un impatto diretto
- Problemi su piattaforme o servizi di terze parti non sotto il controllo di Pandectes
Il nostro impegno per la sicurezza
La sicurezza è una responsabilità condivisa. La ringraziamo per l’aiuto nel mantenere al sicuro Pandectes e i nostri utenti.