Politica di divulgazione delle vulnerabilità

Versione 2026-10-12

Vogliamo essere informati dei problemi di sicurezza di SnagBane. Se pensa di averne trovato uno, ce lo comunichi prima in privato, così possiamo correggerlo prima che diventi pubblico.

Come segnalare

Scriva a support@snagbane.com con «Security» nell’oggetto. Indichi:

  • la versione e l’edizione di SnagBane (Impostazioni → Sistema e aggiornamenti le mostra entrambe) e come è installato (Docker, VPS, cPanel);
  • cosa può fare un attaccante, e i passaggi o una breve proof of concept per riprodurlo;
  • se serve un account, e con quale ruolo;
  • se e come desidera essere citato.

Non apra segnalazioni pubbliche e non pubblichi dettagli prima che sia disponibile una correzione. I contatti leggibili dalle macchine sono in /.well-known/security.txt.

I nostri impegni

  • Rispondiamo entro 5 giorni lavorativi per confermare di aver ricevuto la segnalazione.
  • La teniamo aggiornata almeno ogni 14 giorni finché il problema non è risolto.
  • Puntiamo a rilasciare una correzione per i problemi critici confermati entro 7 giorni e per quelli gravi entro 30 giorni, prima se vengono sfruttati.
  • Citiamo la correzione nelle note di rilascio dell’aggiornamento e la ringraziamo lì, se lo desidera.
  • Concordiamo con lei quando pubblicare i dettagli: dopo l’uscita della correzione, oppure 90 giorni dopo la sua segnalazione se nel frattempo non l’abbiamo corretta, salvo diverso accordo.

Non abbiamo un programma di bug bounty a pagamento.

Ambito

Nell’ambito: il software SnagBane (pacchetti gratuito e a pagamento, ultima versione), il sito snagbane.com e i servizi di aggiornamento e licenze di SnagBane.

Fuori dall’ambito: le installazioni SnagBane di altre organizzazioni (le segnali all’organizzazione che le gestisce); problemi che richiedono un server o un account amministratore compromesso; protezioni mancanti controllate dall’amministratore (ad esempio un’impostazione disattivata); denial of service e test di carico; ingegneria sociale; e servizi di terze parti come Microsoft 365, Google, Freemius o Cloudflare.

Test in buona fede

Esegua i test sulla sua installazione: il codice del server di SnagBane viene fornito leggibile perché possa esaminarlo e sottoporlo a test di sicurezza (contratto di licenza, sezione 2.3). Sul nostro sito e sui nostri servizi usi solo i suoi account e un ritmo di richieste normale; non acceda ai dati di altri, non li modifichi né li conservi, e si fermi e segnali appena ne vede. Non intraprenderemo azioni legali contro ricerche svolte in buona fede nell’ambito di questa politica.

Dopo un aggiornamento

Le correzioni di sicurezza arrivano come normali aggiornamenti. Gli amministratori le installano da Impostazioni → Sistema e aggiornamenti → Aggiornamenti; ogni pacchetto è firmato e verificato prima dell’installazione.