Hai trovato
una vulnerabilità?
Se hai individuato un problema di sicurezza su questo sito, voglio saperlo. Questa pagina dice cosa è compreso, come segnalarlo, entro quanto ti rispondo e a quali condizioni.
È la stessa prassi che seguo quando sono io a trovare una vulnerabilità nel software di qualcun altro: la segnalo a chi lo sviluppa e diventa pubblica solo dopo la correzione.
Che cosa puoi testare
Le regole qui sotto valgono per quello che gestisco direttamente. Fuori da questo perimetro non posso autorizzare nulla, e un test non autorizzato resta un accesso abusivo.
Compreso
- Il sito enricomarcolini.it e tutti i suoi sottodomini
- Il modulo di contatto e il flusso di invio dei messaggi
- La configurazione del server web visibile dall’esterno: intestazioni HTTP, TLS, DNS, esposizione di file
Non compreso
- dottormarc.it e marcuz.it: hanno canali propri, scrivimi e ti indirizzo
- Servizi di terze parti usati dal sito (fornitore di hosting, statistiche, invio email): vanno segnalati a chi li gestisce
- Attacchi che richiedono accesso fisico, ingegneria sociale verso di me o verso terzi, o il furto di credenziali altrui
- Volumi di traffico anomali, test di carico, denial of service
- Rilievi puramente teorici privi di impatto dimostrabile: versioni software dichiarate, intestazioni consigliate ma assenti, risultati grezzi di uno scanner
Quattro condizioni
Sono le stesse che chiederei a chiunque testi un sistema non suo. Rispettarle è ciò che distingue la ricerca dall’intrusione.
Fermati alla prova
Appena hai la conferma che la vulnerabilità esiste, interrompi. Non serve spingersi oltre per dimostrare che è reale.
Non toccare dati altrui
Niente accessi, copie, modifiche o cancellazioni di dati che non siano tuoi. Se ti imbatti in dati personali, interrompi subito e dimmelo nella segnalazione.
Non degradare il servizio
Niente denial of service, niente scansioni automatiche massive, niente test che rendano il sito inutilizzabile ad altri.
Tieni la scoperta riservata
Aspetta che la correzione sia in produzione prima di renderla pubblica. Se serve più tempo del previsto te lo dico, con una data.
Che cosa garantisco in cambio
Se rispetti l’ambito e le quattro condizioni, considero la tua attività ricerca condotta in buona fede: non intraprenderò né sosterrò azioni legali nei tuoi confronti per la segnalazione, e non condividerò la tua identità con terzi senza il tuo consenso.
Questo impegno riguarda me. Non può vincolare i miei fornitori né le autorità: se la tua attività viola la legge o i termini di servizio di un terzo, quella resta una tua responsabilità.
Non ho un programma di bug bounty e non offro ricompense in denaro. Preferisco essere chiaro adesso piuttosto che dopo la tua segnalazione.
Come scrivermi
Scrivi a enrico.marcolini@dottormarc.it, in italiano o in inglese. Se preferisci puoi usare il modulo di contatto, ma per una segnalazione di sicurezza l’email è più adatta: permette di allegare le prove.
Che cosa includere
- L’URL o il componente interessato, e il tipo di vulnerabilità
- I passaggi per riprodurla, nell’ordine, con richieste e risposte se servono
- L’impatto: che cosa riesce a fare un attaccante che la sfrutta
- Data, ora e indirizzo IP da cui hai condotto le prove, così posso separarle dal traffico ostile nei log
- Screenshot o brevi registrazioni, se chiariscono più di una descrizione
Non serve un rapporto formale. Una segnalazione riproducibile in dieci righe vale più di venti pagine che non riesco a verificare.
Entro quanto ti rispondo
Sono termini che mi assumo io. Se non riesco a rispettarli, te lo dico prima che scadano invece di lasciarti senza risposta.
Conferma di ricezione
Ti scrivo che ho ricevuto la segnalazione e chi la sta seguendo.
Esito della verifica
Ti dico se ho riprodotto il problema, come lo valuto e cosa intendo fare.
Correzione
Termine entro cui punto a correggere. Se non ci riesco te lo comunico prima della scadenza, con le ragioni e una nuova data.