Se hai individuato un problema di sicurezza su questo sito, voglio saperlo. Questa pagina dice cosa è compreso, come segnalarlo, entro quanto ti rispondo e a quali condizioni.
È la stessa prassi che seguo quando sono io a trovare una vulnerabilità nel software di qualcun altro: la segnalo a chi lo sviluppa e diventa pubblica solo dopo la correzione.
Ambito: che cosa puoi testare
Le regole qui sotto valgono per quello che gestisco direttamente. Fuori da questo perimetro non posso autorizzare nulla, e un test non autorizzato resta un accesso abusivo.
Compreso
- Il sito marcuz.it e i suoi sottodomini
- Il modulo di contatto e il flusso di invio dei messaggi
- La configurazione del server web visibile dall’esterno: intestazioni HTTP, TLS, DNS, esposizione di file
Non compreso
- enricomarcolini.it e dottormarc.it: hanno canali propri. Per enricomarcolini.it fai riferimento alla sua policy; per dottormarc.it scrivimi e ti indirizzo
- Servizi di terze parti usati dal sito (fornitore di hosting, statistiche, invio email): vanno segnalati a chi li gestisce
- Attacchi che richiedono accesso fisico, ingegneria sociale verso di me o verso terzi, o il furto di credenziali altrui
- Volumi di traffico anomali, test di carico, denial of service
- Rilievi puramente teorici privi di impatto dimostrabile: versioni software dichiarate, intestazioni consigliate ma assenti, risultati grezzi di uno scanner
Regole di ingaggio: quattro condizioni
Sono le stesse che chiederei a chiunque testi un sistema non suo. Rispettarle è ciò che distingue la ricerca dall’intrusione.
- Fermati alla prova. Appena hai la conferma che la vulnerabilità esiste, interrompi. Non serve spingersi oltre per dimostrare che è reale.
- Non toccare dati altrui. Niente accessi, copie, modifiche o cancellazioni di dati che non siano tuoi. Se ti imbatti in dati personali, interrompi subito e dimmelo nella segnalazione.
- Non degradare il servizio. Niente denial of service, niente scansioni automatiche massive, niente test che rendano il sito inutilizzabile ad altri.
- Tieni la scoperta riservata. Aspetta che la correzione sia in produzione prima di renderla pubblica. Se serve più tempo del previsto te lo dico, con una data.
Che cosa garantisco in cambio
Se rispetti l’ambito e le quattro condizioni, considero la tua attività ricerca condotta in buona fede: non intraprenderò né sosterrò azioni legali nei tuoi confronti per la segnalazione, e non condividerò la tua identità con terzi senza il tuo consenso.
Questo impegno riguarda me. Non può vincolare i miei fornitori né le autorità: se la tua attività viola la legge o i termini di servizio di un terzo, quella resta una tua responsabilità.
Non ho un programma di bug bounty e non offro ricompense in denaro. Preferisco essere chiaro adesso piuttosto che dopo la tua segnalazione.
Come scrivermi
Scrivi a enrico.marcolini@dottormarc.it, in italiano o in inglese. Per una segnalazione di sicurezza l’email è più adatta del modulo di contatto: permette di allegare le prove.
Che cosa includere
- L’URL o il componente interessato, e il tipo di vulnerabilità
- I passaggi per riprodurla, nell’ordine, con richieste e risposte se servono
- L’impatto: che cosa riesce a fare un attaccante che la sfrutta
- Data, ora e indirizzo IP da cui hai condotto le prove, così posso separarle dal traffico ostile nei log
- Screenshot o brevi registrazioni, se chiariscono più di una descrizione
Non serve un rapporto formale. Una segnalazione riproducibile in dieci righe vale più di venti pagine che non riesco a verificare.
Entro quanto ti rispondo
Sono termini che mi assumo io. Se non riesco a rispettarli, te lo dico prima che scadano invece di lasciarti senza risposta.
- 72 ore — Conferma di ricezione. Ti scrivo che ho ricevuto la segnalazione e chi la sta seguendo.
- 10 giorni — Esito della verifica. Ti dico se ho riprodotto il problema, come lo valuto e cosa intendo fare.
- 90 giorni — Correzione. Termine entro cui punto a correggere. Se non ci riesco lo comunico prima della scadenza, con le ragioni e una nuova data.
I recapiti di sicurezza in formato leggibile dalle macchine sono in security.txt, secondo RFC 9116.
