Questa pagina è una traduzione di cortesia. In caso di differenze rispetto alla versione in inglese, prevale la versione in inglese. Legga la versione in inglese
Divulgazione responsabile
Ha trovato un problema di sicurezza? Ce lo comunichi prima che qualcun altro lo scopra a proprie spese.
Prendiamo sul serio le segnalazioni dei ricercatori esterni e preferiamo ricevere un Suo contatto diretto piuttosto che scoprire a posteriori un articolo in merito. Questa pagina illustra cosa rientra nell'ambito, come inviare una segnalazione e cosa può aspettarsi in risposta.
Ambito
Cosa copre questa policy.
Nell'ambito
- myshieldid.com e le sue pagine per gli Stati Uniti su myshieldid.com/us, i domini di inoltro shieldid.ca e myshieldid.ca e i relativi sottodomini, inclusi il sito di marketing, il flusso di verifica e il portale dell'account
- L'API pubblica di ShieldID
- Autenticazione, gestione delle sessioni e controllo degli accessi su qualsiasi sistema gestito da ShieldID
Fuori ambito
- Prodotti e siti che non gestiamo, anche se utilizzano ShieldID (RentKey, Crown Ledger e Trust Ledger dispongono di propri contatti per la sicurezza)
- Servizi di terze parti con cui ci integriamo, a meno che il problema non riguardi il modo in cui li utilizziamo
Come segnalare
Ci scriva via email. Non apra una segnalazione pubblica e non pubblichi nulla prima.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Si prega di includere:
- Il tipo di problema e l'URL, l'endpoint o il sistema interessato
- I passaggi per riprodurlo, oppure una proof of concept
- A cosa è riuscito ad accedere o cosa ha ottenuto, e come lo ha verificato
- Eventuali strumenti o script utilizzati, così da poter riprodurre esattamente i Suoi passaggi
Il nostro impegno
Una conferma di ricezione, un'analisi seria e nessuna conseguenza legale per le ricerche in buona fede.
Conferma di ricezione
Ci proponiamo di confermare la ricezione di una segnalazione valida entro tre giorni lavorativi. È un obiettivo che dichiariamo pubblicamente, non una media misurata.
Un'indagine autentica
Ogni segnalazione viene esaminata da una persona in grado di intervenire, non filtrata da un modulo che non porta da nessuna parte.
Nessuna azione legale per ricerche in buona fede
Se individua e segnala una vulnerabilità in buona fede, nell'ambito di questa policy e senza accedere a dati, modificarli o esfiltrarli oltre quanto necessario per dimostrare il problema, non intraprenderemo azioni legali nei Suoi confronti per tale ricerca.
Nessun bug bounty al momento
Al momento non gestiamo un programma di bug bounty a pagamento. Non prometteremo una ricompensa che non possiamo garantire, ma ci impegniamo a leggere e dare seguito a ciò che ci invierà.
Fuori ambito
La preghiamo di non compiere nessuna delle seguenti azioni nell'ambito di una segnalazione.
- Ingegneria sociale ai danni del nostro personale, dei collaboratori o dei clienti
- Tentativi fisici di accedere ai nostri uffici o alla nostra infrastruttura
- Test di denial-of-service o qualsiasi azione che comprometta il servizio per i richiedenti reali
- Scansioni automatizzate di entità tale da poter incidere sugli altri utenti, senza averci prima interpellato
- Accedere ai dati di un'altra persona, modificarli o eliminarli oltre quanto necessario per dimostrare un problema
- Spam, phishing o qualsiasi tentativo di mettere alla prova il giudizio del nostro personale anziché il sistema
Tutela legale (safe harbour)
Le ricerche condotte in buona fede, nel rispetto di questa policy, sono benvenute.
Consideriamo autorizzata la ricerca sulla sicurezza condotta in conformità con questa policy e non avvieremo azioni legali per tale ricerca. Si tratta di una formulazione generale di safe harbour, non sostituisce una consulenza legale specifica per la Sua situazione: se non è sicuro che qualcosa rientri nell'ambito, ce lo chieda prima di effettuare il test.
Domande
Risposte chiare sulla segnalazione di una vulnerabilità.
È pronto a inviare una segnalazione?
Email [email protected] with what you found.
Includa i passaggi per riprodurre il problema e ciò a cui è riuscito ad accedere. Al resto pensiamo noi.