Programma di divulgazione delle vulnerabilità

Cosa rientra nell’ambito

Testa solo questi elementi:

• Il nostro sito web talismanleads.io e i suoi sottodomini, comprese le pagine di accesso, account, pagamenti e strumenti gratuiti.
• Il nostro bot Telegram, @TalismanLeadsV1bot.
• Le API del sito web stesso, quando vi accedi dal tuo account.

Se hai dubbi sul fatto che qualcosa sia nostro, chiedicelo prima di testarlo.

Cosa è escluso dall’ambito

Non inviare segnalazioni su:

• I servizi gestiti da altre aziende, come Telegram, Cloudflare, i circuiti di pagamento e il widget della chat dal vivo. Segnala questi problemi ai rispettivi titolari.
• Gli account e i dati di altri clienti.
• Ciò per cui i nostri verificatori e strumenti gratuiti sono progettati, come indicare se un numero o un indirizzo e-mail ha un account.
• Il fatto che un indirizzo e-mail o un nome utente sia già registrato da noi, nelle pagine di registrazione, accesso o reimpostazione della password.
• I record e-mail (SPF, DKIM, DMARC, BIMI), DNSSEC o CAA mancanti o deboli e i domini dall’aspetto simile.
• Le intestazioni di sicurezza mancanti (CSP, HSTS, X-Frame-Options e simili), i flag dei cookie e le impostazioni SSL/TLS come la scelta dei cifrari, a meno che tu non dimostri un attacco funzionante.
• I nomi dei software e i numeri di versione, i banner dei server e i file pubblici come robots.txt, la sitemap o security.txt.
• Le chiavi destinate a essere pubbliche, come le chiavi CAPTCHA, di analytics e del client browser nel codice sorgente di una pagina.
• Self-XSS, clickjacking o CSRF su pagine senza azioni sensibili, CSRF di logout, open redirect senza ulteriore impatto, tabnabbing e iniezione di testo che non esegue alcuno script.
• I limiti di frequenza sulle pagine e sui moduli pubblici, compreso il sovraccarico di e-mail o registrazioni, a meno che non consentano a qualcuno di prendere il controllo di un account o di spendere denaro.
• Le regole sulle password, la durata della sessione e il fatto che l’autenticazione a due fattori sia facoltativa o assente.
• Gli attacchi che richiedono l’accesso fisico, un dispositivo con root o jailbreak, un browser obsoleto o una vittima già compromessa.
• Phishing, ingegneria sociale e denial of service.
• Le password e altri dati provenienti da violazioni di altri siti, a meno che non funzionino sul nostro.
• I risultati di scanner automatici o strumenti di IA senza una prova funzionante e i consigli sulle best practice senza impatto sulla sicurezza.
• I bug senza impatto sulla sicurezza e le domande sul tuo account o sui pagamenti. Per questi usa la pagina dei contatti.

Potremmo chiudere le segnalazioni su questi punti senza rispondere.

Come testare in sicurezza

• Usa solo account creati da te e solo numeri e indirizzi e-mail che ti appartengono o che hai il permesso di usare.
• Non leggere, modificare o eliminare dati che non ti appartengono. Se raggiungi i dati di un’altra persona, fermati, non conservarne alcuna copia e avvisaci.
• Non eseguire test di denial of service, non sovraccaricare i moduli, non inviare spam e non rallentare il servizio per gli altri.
• Non cercare di ingannare il nostro personale o i nostri clienti e non tentare attacchi fisici.
• Se un problema ti procura saldo o servizi a pagamento, usa solo quanto serve per dimostrarlo e avvisaci, così potremo annullarne gli effetti.
• Mantieni riservato il problema finché non è stato risolto e non ci siamo accordati sulla divulgazione.

Cosa includere nella segnalazione

• In cosa consiste il problema e cosa potrebbe farne un aggressore.
• La pagina, la route API o il comando del bot interessati.
• I passaggi per riprodurlo, con screenshot o un proof of concept.
• Come contattarti e, se lo desideri, il nome con cui vuoi essere citato.

Non includere nella segnalazione i dati personali di altre persone.

Cosa puoi aspettarti da noi

• Confermiamo la ricezione delle segnalazioni che rientrano nell’ambito entro 5 giorni lavorativi.
• Verifichiamo il problema e ti diciamo se riusciamo a riprodurlo e quali sono i passi successivi.
• Ti teniamo al corrente mentre ci lavoriamo e ti avvisiamo quando è stato risolto.
• Se lo desideri, ti citiamo quando scriviamo della correzione.

Approdo sicuro (safe harbor)

Se agisci in buona fede e rispetti questa policy, consideriamo la tua ricerca autorizzata. Non intraprenderemo azioni legali contro di te né ti segnaleremo alle autorità per questo. Se qualcun altro agisce contro di te per questo motivo, chiariremo che hai agito nel rispetto di questa policy.

Questo riguarda solo i sistemi di TalismanLeads. Non possiamo autorizzare test sui sistemi di nessun altro. Se hai dubbi sul fatto che qualcosa sia consentito, chiedicelo prima.

Divulgazione pubblica

Concedici un tempo ragionevole per risolvere un problema prima di pubblicare qualsiasi cosa al riguardo. Il nostro obiettivo è risolvere i problemi confermati entro 90 giorni e concorderemo una data con te. Alcuni problemi richiedono più tempo e ti avviseremo se è il caso del tuo.

Ricompense

Questo è un programma di divulgazione, non un programma di bug bounty, quindi non paghiamo per le segnalazioni. Ti siamo grati per il tuo aiuto e saremo lieti di citarti per questo. Le segnalazioni che chiedono un pagamento prima di condividere i dettagli vengono chiuse senza risposta.

Una volta risolto il problema, potremmo anche citarti nella nostra Hall of Fame, insieme a ciò che hai trovato. Ti citiamo solo con il tuo permesso e puoi chiederci in qualsiasi momento di rimuovere la tua voce.