Hai trovato una falla di sicurezza? Preferiamo saperlo da te.
Scrivici con questo modulo. Non c’è un indirizzo da copiare: la tua segnalazione arriva al team di Trupeo, contrassegnata come segnalazione di sicurezza. Puoi scrivere in inglese o in francese.
La tua segnalazione
Tutti i campi sono obbligatori, tranne la tua organizzazione.
Viene inviata con l’etichetta: Una falla di sicurezza.
Segnalazione inviata.
Grazie. Ti confermeremo la ricezione a entro 5 giorni lavorativi.
Cosa succede dopo.
ALK Innovations, la società dietro Trupeo, è un piccolo team. Ecco cosa puoi aspettarti.
- Entro 5 giorni lavorativi
Ti confermiamo la ricezione
Confermiamo la ricezione di ogni segnalazione entro 5 giorni lavorativi. Quella conferma potrebbe essere l’unico messaggio che ricevi finché il problema non è risolto.
- Una volta deciso
Ti teniamo aggiornato
Ti diremo quando è stato corretto e, se decidiamo di non correggerlo, ti diremo perché.
- Nessuna notizia
Inviala di nuovo
Se non hai notizie da noi entro 10 giorni lavorativi, considera che la segnalazione non è arrivata e inviala di nuovo.
Al momento non abbiamo un programma di bug bounty a pagamento.
Il perimetro.
Cosa rientra nel perimetro
- app.trupeo.com: l’applicazione e la sua API sotto /api/.
- trupeo.com e www.trupeo.com: questo sito.
- I processi che recuperano e archiviano le email delle caselle, nella misura in cui li raggiungi attraverso il prodotto.
Cosa non rientra nel perimetro
Chiudiamo queste segnalazioni senza correzioni:
- Risultati di uno scanner automatico senza un impatto dimostrato.
- Header di hardening mancanti su endpoint che non servono contenuti protetti da credenziali.
- Denial of service tramite volume, aggiramento dei limiti di frequenza usando molti indirizzi di origine, o qualsiasi cosa richieda l’accesso fisico al dispositivo di qualcuno.
- Social engineering nei confronti del personale di ALK Innovations o delle persone che usano Trupeo.
- Vulnerabilità di un servizio terzo da cui Trupeo dipende: segnalale a quel servizio, e diccelo anche se la configurazione di Trupeo le rende sfruttabili.
- Qualsiasi cosa richieda che qualcuno abbia già installato un malware o consegnato la propria password.
Regole per i test di sicurezza
In cambio dell’impegno descritto in “Prima di inviare”, ti chiediamo di rispettare queste regole.
Rileggi l’impegno- Fai i test su account tuoi. Chiunque può creare un account Trupeo su app.trupeo.com, con una prova gratuita di 30 giorni e senza carta. Non c’è quindi alcun bisogno di toccare i dati di altri, e una segnalazione che lo fa non è più in buona fede né nel perimetro.
- Non eseguire test di carico o di stress, e non modificare né eliminare dati che non hai creato tu.
- Se dimostrare la falla significasse leggere la casella di qualcun altro, fermati nel punto in cui hai dimostrato che potresti farlo, e diccelo.