Sicurezza e segnalazione responsabile delle vulnerabilità

01Come proteggiamo ultrania.com

• Solo connessioni cifrate: HTTPS con supporto a TLS 1.3, protocolli obsoleti disattivati e HSTS.
• Intestazioni di sicurezza che limitano il content sniffing, l’inclusione in frame e le autorizzazioni del browser non necessarie.
• Hosting nell’Unione europea su un server monitorato e aggiornato regolarmente.
• Un sito web statico senza login pubblico, che riduce al minimo la superficie di attacco.
• Moduli di contatto protetti da spam e abusi tramite honeypot, controlli sui tempi di compilazione e limiti di frequenza.
• Autenticazione della posta elettronica con SPF, DKIM e DMARC, così che altri non possano facilmente inviare email spacciandosi per noi.

02Attenzione ai tentativi di impersonificazione

Ultrania invia email solo da indirizzi che terminano con @ultrania.com. Non vi chiederemo mai, con una semplice email, di effettuare pagamenti su un nuovo conto bancario. Se ricevete un messaggio sospetto che dichiara di provenire da noi, segnalatecelo tramite il nostro modulo di contatto.

03Segnalare una vulnerabilità

Se ritenete di aver individuato una vulnerabilità di sicurezza in ultrania.com o nei nostri sistemi di posta elettronica, inviate una segnalazione tramite il nostro modulo di contatto, scegliendo «Segnalazione di sicurezza» e indicando:

• una descrizione del problema e della sua posizione;
• i passaggi necessari per riprodurlo;
• il potenziale impatto, per quanto vi è noto;
• come possiamo contattarvi.

04Il nostro impegno verso i ricercatori

• Confermeremo la ricezione della vostra segnalazione entro 3 giorni lavorativi.
• Vi terremo informati mentre analizziamo e risolviamo il problema.
• Non intraprenderemo azioni legali nei confronti di attività di ricerca svolte in buona fede nel rispetto della presente politica.
• Con il vostro consenso, vi ringrazieremo pubblicamente una volta risolto il problema.

05Vi chiediamo di non

• accedere a dati che non vi appartengono, né modificarli o cancellarli;
• effettuare attacchi denial-of-service, spam o social engineering;
• utilizzare scanner automatizzati che generano traffico elevato;
• divulgare pubblicamente il problema prima che abbiamo avuto un tempo ragionevole per risolverlo.

I nostri recapiti in formato leggibile da dispositivo automatico sono pubblicati all’indirizzo /.well-known/security.txt.