Politica di divulgazione delle vulnerabilità

1. Ambito

La presente politica si applica ai siti web pubblici, alle applicazioni ospitate e alle API gestite da Sytance Technologies Limited che rimandano a questa pagina, compreso il Servizio Sytance.

Gli ambienti dei clienti, i sistemi da essi gestiti, i servizi di terzi, le integrazioni, i progetti open source che non gestiamo e le infrastrutture che non possediamo o controlliamo sono esclusi dall’ambito. Un componente di terzi utilizzato da Sytance rientra nell’ambito solo nella misura in cui la segnalazione riguarda i suoi effetti su un servizio gestito da Sytance.

Se non è chiaro chi sia il titolare di una risorsa o se rientri nell’ambito, contatta security@sytance.com e attendi conferma prima di proseguire.

2. Ricerca autorizzata svolta in buona fede

La ricerca sulla sicurezza è autorizzata ai sensi della presente politica solo se svolta in buona fede, entro l’ambito previsto, nel rispetto delle regole seguenti e limitatamente a quanto ragionevolmente necessario per confermare e segnalare una sospetta vulnerabilità.

• Utilizza solo account e dati di cui sei titolare o che sei autorizzato a utilizzare.
• Esegui solo i test minimi necessari a confermare il problema e mantieni basso il volume delle richieste per evitare di incidere sul Servizio o sugli altri utenti.
• Interrompi immediatamente l’attività se incontri dati, credenziali o informazioni riservate di un’altra persona.
• Non conservare, modificare, cancellare, divulgare o scaricare dati in massa.
• Non stabilire meccanismi di persistenza, distribuire malware o utilizzare una vulnerabilità per finalità diverse dalla convalida e dalla segnalazione.
• Segnala tempestivamente il problema, mantieni riservati i dettagli e concedici un tempo ragionevole per indagarlo e risolverlo.

3. Test vietati

• Test di tipo denial-of-service, di carico o stress, o volti a esaurire le risorse.
• Ingegneria sociale, phishing, credential stuffing o password spraying.
• Attacchi fisici o test presso strutture e infrastrutture di terzi.
• Attività distruttive, corruzione dei dati, creazione massiva di account o scansioni automatizzate ad alto volume.
• Test che violano la legge o i diritti di un’altra persona.
• Minacce, estorsioni o richieste di pagamento.

4. Informazioni da includere nella segnalazione

Una segnalazione concisa con i passaggi per riprodurre il problema ci aiuta a valutarlo in sicurezza e a rispondere più rapidamente. Se disponibili, includi:

• il dominio, l’URL, l’endpoint API, la funzionalità o il componente interessato;
• una descrizione chiara della vulnerabilità e del potenziale impatto;
• i passaggi per riprodurre il problema utilizzando un account di test e dati anonimizzati;
• una prova di concetto minima, la richiesta e la risposta, uno screenshot o un estratto del registro;
• le eventuali condizioni preliminari e misure di sicurezza adottate;
• i recapiti a cui preferisci essere contattato.

5. Obiettivi di risposta

Puntiamo a confermare la ricezione di una segnalazione sufficientemente completa entro tre giorni lavorativi e a fornire i primi risultati della valutazione entro dieci giorni lavorativi. Finché un problema confermato è oggetto di indagine attiva, se il segnalante ha fornito recapiti validi cerchiamo di comunicare aggiornamenti sostanziali almeno ogni dieci giorni lavorativi.

Per giorno lavorativo si intende dal lunedì al venerdì, escluse le festività pubbliche a Hong Kong. Questi sono obiettivi di comunicazione, non termini garantiti per la correzione. Una segnalazione incompleta, un numero elevato di segnalazioni, una complessità tecnica insolita o la dipendenza da terzi possono allungare i tempi; ove possibile, comunicheremo le nuove tempistiche previste.

6. Come gestiamo una segnalazione

• Ricezione e tracciamento — registriamo la segnalazione, verifichiamo che la risorsa interessata rientri nell’ambito e definiamo un canale di contatto con il segnalante.
• Triage e riproduzione — valutiamo le informazioni fornite, cerchiamo di riprodurre il comportamento, eliminiamo i duplicati e chiediamo chiarimenti quando necessario.
• Valutazione e priorità del rischio — se la vulnerabilità è convalidata, valutiamo gravità, sfruttabilità, dati e utenti interessati, esposizione, controlli compensativi ed evidenze di sfruttamento attivo.
• Correzione e verifica — il team responsabile sviluppa una mitigazione o una correzione, la testa, gestisce le dipendenze pertinenti al rilascio o derivanti da terzi e ne verifica il risultato.
• Chiusura e divulgazione — comunichiamo al segnalante l’esito che possiamo rendere noto, coordiniamo l’eventuale divulgazione pubblica e valutiamo se sia opportuno pubblicare un avviso di sicurezza o un riconoscimento.

7. Tutela per la ricerca svolta in buona fede

Se ti impegni in buona fede a rispettare la presente politica, considereremo autorizzata la tua attività di ricerca nella misura in cui possiamo concedere legalmente tale autorizzazione e non avvieremo azioni legali per condotte accidentali e in buona fede svolte entro il suo ambito.

Se un terzo avvia un’azione legale in relazione a un’attività conforme alla presente politica, possiamo confermare che l’attività è stata svolta nell’ambito della nostra procedura di divulgazione delle vulnerabilità. Non possiamo autorizzare attività per conto di un’altra organizzazione né garantire come reagiranno terzi o autorità pubbliche.

Questa tutela non autorizza condotte illecite, sconsiderate, dolose o estorsive, non comporta rinuncia ai diritti altrui e non protegge condotte che proseguano dopo che ti abbiamo chiesto di interromperle.

8. Divulgazione coordinata e riconoscimenti

Mantieni riservati la sospetta vulnerabilità, la prova di concetto, le informazioni sui clienti interessati e i dettagli della correzione mentre svolgiamo le indagini. Di norma puntiamo a una divulgazione coordinata entro 90 giorni di calendario dalla conferma di ricezione di una segnalazione sufficientemente completa. Prima di pubblicare, contattaci per concordare l’ambito tecnico e una data che consenta agli utenti di proteggersi.

La data di divulgazione appropriata può essere anticipata o posticipata in funzione della gravità, dello sfruttamento attivo, del rischio per i clienti, dello stato di preparazione del rilascio e dei terzi interessati. Non chiederemo una proroga solo per evitare verifiche; se occorre più tempo, spiegheremo i motivi che possono essere resi noti in sicurezza.

Possiamo pubblicare un avviso quando la divulgazione aiuta gli utenti a proteggersi. Prima di citare il segnalante, concorderemo con lui l’attribuzione.

La presente politica non costituisce un programma bug bounty e non dà diritto a pagamenti, premi, rapporti di lavoro o altri compensi.