Politica di divulgazione delle vulnerabilità
Se pensi di aver trovato una vulnerabilità in Walkie Desk, vogliamo saperlo. Questa pagina spiega come segnalarcela e che cosa puoi aspettarti da noi.
Come segnalare
- Con il modulo Segnalazioni, scegliendo «Una vulnerabilità»;
- oppure scrivendo a security@walkiedesk.app.
Al momento non pubblichiamo una chiave PGP: se hai bisogno di un canale cifrato per inviarci i dettagli, scrivici e lo concordiamo. Leggiamo le segnalazioni in italiano e in inglese.
Cosa includere
- il componente (per esempio Walkie Desk per Windows, QuickSupport, area utente, API) e la sua versione;
- una descrizione del problema e del suo impatto;
- i passi per riprodurlo e, se c’è, una prova di concetto;
- come ricontattarti e se desideri essere citato nell’avviso.
Non inviarci dati personali di altre persone che hai eventualmente visto durante le prove.
Ambito
Nell’ambito
- Walkie Desk per Windows: setup, servizio, programma della sessione e app della barra;
- QuickSupport;
- l’area utente e il viewer nel browser (walkiedesk.app/app/);
- le API e il signaling (walkiedesk.app/v1/);
- il server di coordinamento, il server di inoltro (turn.walkiedesk.app) e il sito walkiedesk.app.
Fuori dall’ambito
- attacchi di negazione del servizio e test che degradano il servizio per gli altri utenti;
- ingegneria sociale verso il personale di iDev o verso gli utenti, attacchi fisici;
- vulnerabilità già pubbliche di software di terze parti senza un impatto dimostrato su Walkie Desk (segnalale al produttore);
- risultati di scanner automatici senza una prova d’impatto;
- header o configurazioni mancanti senza un impatto concreto.
Regole per le prove
- Usa solo account e PC tuoi, o per cui hai l’autorizzazione.
- Non accedere, modificare o cancellare dati di altri: se ti capita di vederne, fermati e segnalacelo.
- Non degradare il servizio e non inviare spam.
- Non rendere pubblica la vulnerabilità prima che sia corretta o prima della data concordata con noi.
Tempi indicativi
- Conferma di ricezione
- entro 5 giorni lavorativi
- Prima valutazione
- entro 10 giorni lavorativi
- Correzione delle vulnerabilità gravi
- entro 90 giorni dalla segnalazione
Ti teniamo aggiornato sullo stato della segnalazione e concordiamo con te quando renderla pubblica. Dopo la correzione pubblichiamo un avviso di sicurezza.
Buona fede
Se ci segnali una vulnerabilità in buona fede e rispetti questa politica, non intraprenderemo azioni legali nei tuoi confronti per la tua ricerca e non chiederemo alle autorità di farlo. Se un terzo dovesse agire contro di te per attività svolte nel rispetto di questa politica, lo faremo sapere.
Riconoscimento
Se lo desideri, ti citiamo con il nome o lo pseudonimo che preferisci nell’avviso di sicurezza della correzione. La citazione è facoltativa. Non offriamo ricompense in denaro (bug bounty).
Questa politica fa parte della gestione delle vulnerabilità di Walkie Desk prevista dal Regolamento (UE) 2024/2847 (Cyber Resilience Act). Il riferimento per i programmi di ricerca automatica è security.txt. Come trattiamo i dati delle segnalazioni: informativa privacy.