Politica di sicurezza informatica
DropBG (dropbg.io) • Divulgazione coordinata delle vulnerabilità
Politica
Apprezziamo il tuo interesse nell’aiutarci a migliorare la nostra sicurezza. Ti preghiamo di seguire le regole riportate di seguito per evitare qualsiasi rischio di implicazioni legali.
Linee guida per la divulgazione coordinata delle vulnerabilità
- Evita la condivisione non autorizzata. Durante il processo di divulgazione coordinata, discuti della vulnerabilità esclusivamente con il fornitore interessato, il proprietario del sistema e noi.
- Concedi il tempo per una correzione. Attendi a divulgare pubblicamente la vulnerabilità finché le parti interessate non abbiano avuto tempo sufficiente per risolverla, o finché tu e tutte le parti — incluso DropBG — non abbiate raggiunto un accordo sulla divulgazione.
- Riduci le interazioni al minimo. Dopo aver segnalato una vulnerabilità, non interagire nuovamente con il sistema interessato durante il processo di divulgazione coordinata.
- Limita il tuo raggio d’azione. Quando dimostri un Proof of Concept, esegui solo le azioni minime necessarie. Non scaricare, modificare o eliminare alcun dato oltre a quanto strettamente richiesto.
- Non superare il tuo livello di accesso. Evita di elevare i privilegi o di esplorare un sistema oltre il minimo necessario per il tuo Proof of Concept. Utilizza solo i tuoi account personali per i test e non esfiltrare mai i dati di altri utenti.
- Utilizza metodi etici. Non utilizzare tecniche di forza bruta o di ingegneria sociale per ottenere l’accesso a un sistema.
- Evita azioni malevole. Non condurre attacchi denial-of-service (DoS) e non installare malware o virus.
- Fornisci gli indirizzi IP. Quando possibile, includi gli indirizzi IP che hai utilizzato durante la scoperta. Questo ci aiuta a valutare potenziali sfruttamenti e a ridurre gli avvisi di falsi positivi.
- Comunica i tuoi piani. Se intendi divulgare pubblicamente le tue scoperte, ad esempio in un intervento o in un articolo, ti preghiamo di informarci in anticipo.
Cosa aspettarsi dal nostro programma CVD
- Tutela legale. Finché seguirai le nostre linee guida, agirai in buona fede e senza intenti malevoli, non subirai azioni civili o penali da parte nostra per aver segnalato una vulnerabilità.
- Riservatezza e anonimato. La tua segnalazione sarà trattata come confidenziale. Puoi scegliere di rimanere anonimo e non condivideremo i tuoi dati personali con terze parti senza il tuo consenso esplicito.
- Riconoscimento. Saremo lieti di accreditarti con il tuo nome o nickname come autore della segnalazione della vulnerabilità una volta risolto il problema.
- Risposta tempestiva. Riceverai una conferma della tua segnalazione entro 3 giorni lavorativi e valuteremo il problema entro 5 giorni lavorativi.
- Comunicazione. Ti terremo informato sui progressi nella risoluzione della vulnerabilità e, in caso di pubblicazione di un CVE, coordineremo la divulgazione con tutte le parti coinvolte.
- Riconoscimento nella Wall of Fame. Siamo un progetto indipendente e non offriamo ricompense in denaro (bug bounty). In riconoscimento del tuo contributo, saremo felici di inserire il tuo nome o nickname nella nostra Security Wall of Fame pubblica (a meno che tu non preferisca rimanere anonimo).
Per segnalare una vulnerabilità, invia un’email a dropna@pm.me. Il nostro file di sicurezza conforme allo standard RFC 9116 è disponibile all’indirizzo /.well-known/security.txt.
Ultima modifica il 29 settembre 2026