1. Segnalare una vulnerabilità

Per segnalare una vulnerabilità di sicurezza, inviaci un'email a: [email protected]

Usa l'oggetto: [Rapporto di vulnerabilità di sicurezza]

Includi nel tuo rapporto:

• Una descrizione chiara della vulnerabilità e del suo potenziale impatto
• Istruzioni passo-passo per riprodurre il problema
• L'URL, l'endpoint o il componente interessato
• Eventuale codice proof-of-concept o screenshot (opzionale ma utile)
• Le tue informazioni di contatto per poter risponderti

2. Il nostro impegno verso di te

Quando segnali una vulnerabilità in buona fede, ci impegniamo a:

• Confermare la tua segnalazione entro 48 ore
• Fornirti aggiornamenti regolari sui nostri progressi
• Lavorare per risolvere le vulnerabilità confermate il più rapidamente possibile
• Notificarti quando il problema è stato risolto
• Non intraprendere azioni legali contro i ricercatori che seguono le linee guida di divulgazione responsabile
• Citarti nei nostri ringraziamenti (se lo desideri)

3. Linee guida per la divulgazione responsabile

Chiediamo ai ricercatori di sicurezza di:

• Non accedere, modificare, copiare o eliminare dati di altri utenti
• Non eseguire attacchi denial-of-service (DoS)
• Non utilizzare scanner automatizzati contro la nostra infrastruttura senza previa autorizzazione
• Non tentare social engineering, phishing o attacchi fisici contro il nostro team
• Darci un tempo ragionevole per risolvere il problema prima di qualsiasi divulgazione pubblica (richiediamo 90 giorni)
• Non divulgare pubblicamente i dettagli della vulnerabilità prima che abbiamo rilasciato una correzione
• Eseguire solo i test minimi necessari per confermare la vulnerabilità

4. Ambito

Nell'ambito

I seguenti elementi rientrano nell'ambito della divulgazione responsabile:

• L'applicazione web FactCheckTool.com
• I nostri endpoint API backend
• Sistemi di autenticazione e gestione degli account
• Pipeline di caricamento ed elaborazione dei file
• Il nostro flusso di pagamento

Fuori dall'ambito

I seguenti elementi sono fuori dall'ambito di questa politica:

• Servizi di terze parti che utilizziamo
• Attacchi di social engineering o phishing
• Sicurezza fisica della nostra infrastruttura
• Attacchi denial-of-service o volumetrici
• Email spoofing o spam senza impatto dimostrato

5. security.txt

Manteniamo un file security.txt standard in /.well-known/security.txt conforme all'RFC 9116.