Politica di divulgazione delle vulnerabilità

I venditori si affidano a PapelShip per ricevere pagamenti e a qPapel per proteggere il proprio software. Accogliamo con favore le segnalazioni dei ricercatori che individuano problemi di sicurezza e desiderano aiutarci a risolverli.

Inclusi nell’ambito

• papelship.com e la dashboard di PapelShip.
• Il checkout ospitato e i negozi su mypapel.com.
• L’API di PapelShip, i webhook e i server di autenticazione qPapel.
• Gli SDK qPapel per C++ e C#.

Esclusi dall’ambito

• Attacchi di tipo denial of service, test di carico o tentativi di ridurre la disponibilità del servizio.
• Ingegneria sociale, phishing o attacchi fisici nei confronti del personale o degli uffici.
• Contenuti, codice o configurazioni sotto il controllo dei singoli venditori.
• Servizi di terze parti da noi utilizzati, che vanno segnalati ai rispettivi titolari.
• Rilevazioni prive di un impatto dimostrato sulla sicurezza, come l’assenza di header nelle pagine statiche.

Inviare un’email all’indirizzo [email protected] con oggetto «Security report», indicando:

• Una descrizione del problema e del suo potenziale impatto.
• L’URL, l’endpoint, la versione dell’SDK o il componente interessati.
• I passaggi per riprodurre il problema e, ove possibile, un proof of concept.
• Se e in che modo si desidera essere menzionati.

• Effettuare test esclusivamente su account e negozi di propria titolarità o previa autorizzazione esplicita.
• Non accedere a dati appartenenti ad altri Utenti, né modificarli o cancellarli; interrompere l’attività ed effettuare la segnalazione non appena si raggiungono tali dati.
• Non utilizzare una vulnerabilità individuata per eludere la protezione qPapel di un altro venditore o per ottenere licenze.
• Non eseguire scansioni automatizzate che generino un traffico elevato.
• Mantenere riservati i dettagli finché non avremo confermato la correzione.

Se il ricercatore rispetta la presente politica, agisce in buona fede e ci concede un tempo ragionevole per rispondere, non intraprenderemo azioni legali nei suoi confronti per l’attività di ricerca svolta e collaboreremo con lui per comprendere e risolvere il problema.

Confermeremo la ricezione della segnalazione, terremo informato il ricercatore nel corso delle verifiche e gli comunicheremo l’avvenuta risoluzione del problema. Al momento non gestiamo un programma di bug bounty a pagamento.