In ActorDo, ci impegniamo a garantire il massimo livello di sicurezza, integrità e fiducia per i nostri utenti, partner e sistemi.

Scopri di più su Actor Sicurezza dei dati e Informativa sulla privacy

Il nostro Programma di divulgazione delle vulnerabilità (VDP) è pensato per offrire a ricercatori di sicurezza, hacker etici e membri della comunità un modo chiaro, sicuro e responsabile per segnalare le vulnerabilità di sicurezza nei nostri prodotti e servizi.

Questo programma promuove la collaborazione e la divulgazione responsabile, consentendoci di individuare, correggere e ridurre al minimo i rischi prima che possano essere sfruttati.

Ambito

I sistemi/le risorse inclusi nell'ambito comprendono (ma non si limitano necessariamente a):

  • Applicazioni web e API di ActorDo
  • Servizi backend, microservizi e infrastruttura cloud
  • Sistemi interni, previa autorizzazione (vedi contatti)

I sistemi/le risorse esclusi dall'ambito comprendono:

  • Servizi, integrazioni o dipendenze di terze parti non sviluppati da ActorDo
  • Attacchi fisici o all’hardware (ad es. ai data center o ai dispositivi, salvo esplicita autorizzazione)
  • Attacchi di ingegneria sociale, phishing o impersonificazione (salvo esplicita autorizzazione scritta)
  • Bug non relativi alla sicurezza o richieste di nuove funzionalità
  • Qualsiasi test che possa causare interruzioni del servizio o negazione del servizio

Per essere idonea, la vulnerabilità deve:

  • Essere presenti nella versione più recente rilasciata al pubblico (o nella versione beta rilasciata ufficialmente)
  • Comportare un impatto sulla sicurezza (ad es. fuga di dati, escalation dei privilegi, esecuzione di codice da remoto, aggiramento dei controlli)

Linee guida e regole di condotta

Per partecipare, segui queste regole per poter ricevere riconoscimenti o premi:

  1. Non arrecare danni
    • Non eliminare o modificare dati né interrompere le normali operazioni.
    • Evitare azioni che causino interruzioni (ad es. lanciare attacchi DDoS o compromettere le prestazioni del servizio).
  2. Limita le verifiche
    • Non tentare di accedere a dati non pubblici o di manipolarli oltre quanto strettamente necessario per dimostrare la vulnerabilità.
    • Se possibile, utilizza un ambiente di test o un account non di produzione.
  3. Riservatezza
    • Non divulgare pubblicamente i risultati (su blog, social media ecc.) prima che ActorDo abbia avuto un tempo ragionevole per rispondere e risolvere il problema (vedi «Tempistiche di divulgazione»).
    • Non condividere né vendere le informazioni a terzi.
  4. Nessuna manipolazione sociale
    • Phishing, impersonificazione o tecniche simili non rientrano nell'ambito consentito, salvo autorizzazione esplicita.
  5. Rispetta la privacy e i vincoli legali
    • Non violare le leggi sulla privacy né accedere a dati personali sensibili oltre quanto necessario per dimostrare la vulnerabilità.
    • Rispetta le leggi, i regolamenti e le buone pratiche locali applicabili.
  6. Divulgazione e coordinamento
    • Concedici il tempo necessario (in genere 90 giorni) per risolvere il problema prima della divulgazione pubblica, salvo diverso accordo.
    • Se ritieni giustificata una divulgazione anticipata (ad esempio, in caso di rischio di sfruttamento), avvisaci così da poter concordare tempistiche più brevi.

La violazione di queste regole (ad es. azioni distruttive o divulgazione pubblica senza coordinamento) può rendere una segnalazione non idonea a ricevere un premio o un riconoscimento pubblico.

Segnalare una vulnerabilità

Cosa includere nella segnalazione

Invia la tua segnalazione a alex@actordo.com e includi:

  • Una breve descrizione del problema
  • Passaggi per riprodurlo o prova di concetto
  • Sistema o URL interessato
  • (Facoltativo) il tuo nome o pseudonimo per essere menzionato

Confermeremo la ricezione della tua segnalazione entro 5 giorni lavorativi e ti terremo aggiornato mentre lavoriamo a una soluzione. Non tutte le segnalazioni riceveranno una conferma di ricezione, se non saranno ritenute valide.

Indica nella segnalazione se desideri mantenere l’anonimato o ricevere un riconoscimento pubblico.

Riconoscimenti e premi

  • In base all'impatto e alla chiarezza della segnalazione, potremmo offrire ricompense come ringraziamento o un riconoscimento pubblico.
  • Le ricompense sono a nostra discrezione e dipendono dalla gravità e dalla qualità della segnalazione.
  • Le segnalazioni duplicate o di scarso impatto potrebbero non essere idonee.

Clausola di salvaguardia

Se segui questa policy in buona fede, sei tutelato da azioni legali pertinenti alla tua ricerca.

Grazie per aiutarci a mantenere ActorDo sicuro.