Segnalare una vulnerabilità
Scrivici a security@digismoothie.com indicando:
- una descrizione del problema e del suo potenziale impatto,
- i passaggi per riprodurlo (una proof of concept è utile),
- l’app, l’URL o l’endpoint interessato.
Ci impegniamo a confermare la ricezione delle segnalazioni entro 5 giorni lavorativi e a tenerti aggiornato mentre analizziamo e risolviamo il problema.
Ambito
Rientrano nell’ambito tutte le app Shopify pubblicate da Digismoothie, oltre ai siti web e ai servizi backend che le supportano.
Fuori ambito:
- vulnerabilità della piattaforma Shopify stessa – segnalale tramite il programma di bug bounty di Shopify su HackerOne,
- negozi Shopify, app personalizzate e integrazioni che realizziamo per i clienti della nostra agenzia (vedi “Progetti dei clienti” più sotto),
- attacchi denial-of-service, test di carico e spam,
- social engineering o phishing rivolti al nostro team o ai nostri esercenti,
- segnalazioni senza un impatto dimostrato sulla sicurezza (ad es. output di scanner automatici, header mancanti, configurazione SPF/DMARC delle e-mail).
Linee guida per i test
- Esegui i test solo sul tuo negozio di sviluppo Shopify.
- Non accedere a dati che non ti appartengono e non modificarli né eliminarli. Se trovi dati di esercenti o clienti, fermati e avvisaci.
- Concedici un tempo ragionevole per risolvere il problema prima di renderlo pubblico.
Progetti dei clienti
I negozi Shopify, le app personalizzate e le integrazioni che realizziamo come agenzia sono di proprietà dei nostri clienti e da loro gestiti, quindi non possiamo autorizzare test di sicurezza su di essi. Se trovi una vulnerabilità in uno di questi progetti, non proseguire con i test, ma segnalaci ciò che hai trovato a security@digismoothie.com. Coordineremo la correzione con il cliente.
Riconoscimenti
Non gestiamo un programma di bug bounty retribuito, ma apprezziamo le segnalazioni responsabili e saremo lieti di citarti pubblicamente una volta risolto il problema, se lo desideri.
Come proteggiamo i dati degli esercenti
Le misure tecniche e organizzative che applichiamo sono descritte nell’Allegato 1 del nostro Accordo sul trattamento dei dati. Per sapere come trattiamo i dati personali, consulta la nostra Informativa sulla privacy.
Supervisione della sicurezza
Le richieste relative alla sicurezza sono supervisionate da Tomáš Buzek, CTO.