Politica di divulgazione delle vulnerabilità

Questa politica è di HIDENENTERPRISES S.L. per il suo servizio Duravigil. Spiega come segnalarci una falla di sicurezza, che cosa facciamo con la segnalazione, in quanto tempo e quale tutela avete se fate ricerca in buona fede. La rivediamo almeno una volta all'anno.

1. Ambito

Questa politica riguarda i sistemi che gestiamo:

• Il sito www.duravigil.com e gli altri sottodomini di duravigil.com che gestiamo, compresa la piattaforma clienti app.duravigil.com.
• I domini duravigil.es, duravigil.cat, duravigil.eu, duravigil.net e durabigil.com.
• La piattaforma di monitoraggio Duravigil e i servizi collegati, compreso il test di sicurezza automatico.

Sono esclusi:

• I prodotti dei fabbricanti con cui lavoriamo. Segnalateli al fabbricante secondo la sua politica. Non confermiamo chi sono i nostri clienti.
• I servizi di terzi che usiamo, come Cloudflare o Microsoft 365. Segnalateli a ciascun fornitore tramite il suo programma.

2. Come segnalare

Scrivete a security@duravigil.com, in inglese o in spagnolo. Affinché possiamo gestire bene la segnalazione, indicate:

• Quale sistema o indirizzo è interessato.
• Che cosa avete trovato e quale impatto pensate che abbia.
• I passaggi per riprodurre il problema e, se ne avete una, una prova di concetto.
• Quando l'avete scoperto.
• Come contattarvi per eventuali domande: un indirizzo email o un numero di telefono.

Vi consigliamo di inviare le informazioni riservate cifrate e firmate. Stiamo preparando la nostra chiave OpenPGP; quando sarà pubblicata la collegheremo qui e nel security.txt, con la sua impronta. Fino ad allora, se i dettagli sono delicati, scriveteci prima senza includerli e concorderemo come inviarli.

Segnalazioni anonime

Potete scrivere da un indirizzo che non vi identifica. Tenete presente che, se non possiamo farvi domande, potremmo riuscire a gestire la segnalazione solo in parte, o per niente. Se il problema è complesso, probabilmente avremo bisogno di altre spiegazioni o di altra documentazione.

3. Tempi di risposta

• Conferma di ricezione entro 5 giorni lavorativi dalla vostra segnalazione o da ogni aggiornamento che ci inviate. La scrive una persona; non è una risposta automatica.
• Una risposta dettagliata entro 10 giorni lavorativi, con una di queste tre cose: se confermiamo o escludiamo la vulnerabilità, le domande a cui ci serve una risposta per capirla, oppure il motivo per cui l'indagine richiederà più tempo, con l'impegno a inviarvi un altro aggiornamento entro al massimo 10 giorni lavorativi.

Contiamo i giorni lavorativi secondo il calendario di Cervera (Lleida, Spagna). Questi tempi non valgono per le segnalazioni anonime, perché non abbiamo nessuno a cui rispondere. Potete chiedere a che punto è la vostra segnalazione in qualsiasi momento.

4. I nostri impegni

• Trattiamo ogni segnalazione come riservata, nei limiti consentiti dalla legge. Pubblichiamo solo ciò che serve a divulgare la vulnerabilità una volta corretta.
• Non comunichiamo i vostri dati personali a terzi senza il vostro permesso esplicito.
• Rispondiamo entro i tempi di questa politica e restiamo disponibili per tutto il processo.
• Non vi chiediamo di firmare un accordo di riservatezza.
• Se lo desiderate, a caso chiuso vi ringraziamo pubblicamente con il vostro nome o pseudonimo.

Tutela se agite in buona fede

Se fate ricerca in buona fede e seguite questa politica, non intraprenderemo azioni legali contro di voi né vi denunceremo alle autorità per quella ricerca, e la considereremo autorizzata da noi. Se un terzo agisce contro di voi per qualcosa che avete fatto nel rispetto di questa politica, chiariremo che avete agito in base a essa. Questo non vale quando è riconoscibile un intento criminale.

5. Che cosa consideriamo una vulnerabilità

Trattiamo come vulnerabilità una falla che:

• riguarda uno dei sistemi compresi nell'ambito;
• non è ancora pubblica;
• è accompagnata da una spiegazione, e non è solo il risultato di uno strumento automatico senza altra documentazione.

Se segnalate qualcosa che abbiamo già corretto, leggiamo e verifichiamo comunque la segnalazione. Segnalazioni come intestazioni o impostazioni consigliate, senza un impatto dimostrabile, sono benvenute, anche se di solito non seguono l'intero processo.

6. Che cosa vi chiediamo

• Non sfruttate la falla oltre quanto serve a dimostrarla, e non causate danni.
• Non accedete a dati che non sono vostri, non modificateli e non cancellateli. Se raggiungete dati personali di altre persone, fermatevi, avvisateci e non conservateli.
• Non eseguite attacchi di negazione del servizio, invii massivi, attacchi di forza bruta, ingegneria sociale o prove fisiche.
• Non mettete a rischio né modificate sistemi o dati di terzi.
• Non offrite a nessuno strumenti per sfruttare la falla.
• Non pubblicate la falla prima che sia corretta o prima di aver concordato una data con noi.

Chiediamo a tutte le persone coinvolte di trattarsi con rispetto. Non accettiamo insulti né discriminazioni di alcun tipo. Se una segnalazione non segue queste indicazioni, la gestiremo comunque per quanto possibile, ma non ringrazieremo pubblicamente chi l'ha inviata.

7. Coordinamento e divulgazione

Concordiamo con voi la data di pubblicazione. Pubblichiamo le vulnerabilità confermate al più tardi 90 giorni dopo averle convalidate. Se c'è un motivo giustificato per metterci di più a correggerne una, quel termine si può prorogare una sola volta di altri 90 giorni, d'accordo con voi e con il CSIRT designato come coordinatore in Spagna, dove abbiamo sede.

Se la vulnerabilità è attivamente sfruttata, lo notificheremo a quel CSIRT senza indebito ritardo e lo terremo informato sui progressi della correzione.

8. Quando un caso è chiuso

Consideriamo chiuso un caso quando si verifica una di queste situazioni:

• la vulnerabilità è stata corretta ed è stata pubblicata;
• riscontriamo che la segnalazione è infondata, e vi spieghiamo perché;
• non rispondete alle nostre domande tecniche per almeno 30 giorni e non possiamo andare avanti senza il vostro aiuto.

Vi avvisiamo quando lo chiudiamo, salvo che la segnalazione sia anonima.

9. Ricompense

Al momento non abbiamo un programma di ricompense in denaro. Con il vostro permesso, però, ringraziamo pubblicamente chi ci segnala una vulnerabilità valida.

10. Contatti e lingue

• Email: security@duravigil.com
• Lingue: inglese e spagnolo
• File di contatto secondo la RFC 9116: /.well-known/security.txt

Questa politica è pubblicata anche in spagnolo, versione che prevale se le due non coincidono: Política de divulgación de vulnerabilidades.