Sicurezza
Segnala una vulnerabilità di sicurezza
Se hai trovato un punto debole in euphile.eu o in uno dei prodotti della piattaforma, faccelo sapere. Leggiamo ogni segnalazione, rispondiamo a chiunque ci scriva e riconosciamo pubblicamente il tuo contributo quando il problema viene risolto.
La tua segnalazione
I campi contrassegnati con * sono obbligatori. Se puoi, scrivi in inglese. Leggiamo le segnalazioni anche in tutte le lingue dell'UE.
Le regole
Cosa puoi testare
- euphile.eu e tutti i servizi sotto euphile.eu: le applicazioni, le console di amministrazione e le API.
- I dieci prodotti della piattaforma, comprese le loro applicazioni desktop e i loro componenti aggiuntivi, nell'ultima versione rilasciata.
- Qualsiasi altro sistema da noi gestito che contenga dati dei clienti.
Cosa è escluso
- I servizi gestiti da terzi che noi ci limitiamo a utilizzare. Segnala i problemi al loro proprietario.
- Il denial of service, i test di carico e qualsiasi test che rallenti o interrompa il servizio per gli altri.
- L'ingegneria sociale, il phishing e gli attacchi fisici contro il nostro personale, i nostri clienti o i nostri uffici.
- I risultati di scanner automatici senza un impatto dimostrato e sfruttabile.
- L'assenza di header di sicurezza, di attributi dei cookie o di record di autenticazione delle e-mail, a meno che tu non dimostri un attacco concreto.
- Il self-XSS, il clickjacking su pagine prive di azioni sensibili e la divulgazione delle versioni del software.
- I prompt che inducono un modello di IA a dire qualcosa di indesiderato, a meno che non superino un confine di sicurezza: i dati di un altro cliente, un segreto o un'azione che l'utente non è autorizzato a compiere.
Come eseguire i test
- Usa solo account di tua proprietà, o account il cui proprietario ti abbia dato un'autorizzazione scritta.
- Se accedi a dati che non sono tuoi, fermati. Non copiarli, non conservarli e non condividerli, e indicalo nella tua segnalazione.
- Fai solo ciò che serve a dimostrare il problema: nessuna modifica o cancellazione, nessuna persistenza e nessuno spostamento verso altri sistemi.
- Mantieni il traffico automatizzato sotto le 5 richieste al secondo.
- Non condividere i dettagli con nessuno finché non avremo rilasciato una correzione, o fino a 90 giorni dopo la tua segnalazione, a seconda di quale evento si verifichi prima. Possiamo concordare insieme un'altra data.
- Non chiedere un pagamento in cambio della mancata divulgazione. Si tratta di estorsione, non di ricerca.
I nostri impegni
- Confermiamo la ricezione entro 2 giorni lavorativi.
- Inviamo una prima valutazione, con la nostra classificazione della gravità, entro 5 giorni lavorativi.
- Ti forniamo aggiornamenti almeno una volta al mese fino alla risoluzione del problema.
- Ti avvisiamo quando la correzione viene rilasciata e concordiamo con te quando pubblicare l'avviso.
- Con il tuo consenso, ti citiamo per nome nell'avviso e nei ringraziamenti.
Tutela legale
- Se agisci in buona fede e rispetti queste regole, consideriamo la tua ricerca autorizzata. Non intraprenderemo azioni legali contro di te per questa ricerca e non sosterremo chi dovesse farlo.
- Se una terza parte intraprende azioni contro di te per una ricerca condotta nel rispetto di queste regole, renderemo noto che la tua ricerca era autorizzata.
- Questo vale per i sistemi che possediamo e gestiamo. Non possiamo autorizzare test su sistemi che appartengono ad altri.
Ricompense
- Con il tuo consenso, ogni segnalazione valida viene riconosciuta pubblicamente.
- Per una scoperta originale di gravità alta o critica, possiamo offrire una ricompensa in denaro. Decidiamo se offrirla, e il suo importo, in base all'impatto e alla qualità della segnalazione. La ricompensa non è garantita.
- Quando più persone segnalano lo stesso problema, conta la prima segnalazione completa.
- Non possiamo pagare una ricompensa dove la legge lo vieta, né a chi ha violato queste regole.