Politica di sicurezza e segnalazione di vulnerabilità

Invia la segnalazione via e-mail. Cifrala con la nostra chiave PGP pubblica ogni volta che contiene dettagli tecnici o una prova di concetto.

Contatto

[email protected]

Chiave PGP pubblica

/.well-known/pgp-key.txt

Impronta

3C11 0D26 D95B A699 3DA0 FEF4 E8C7 6A2C 9D88 DB15

ID chiave

E8C76A2C9D88DB15

Algoritmo

RSA 4096

Validità

2026-10-07 → 2028-10-06

security.txt

/.well-known/security.txt (RFC 9116, firmato)

Importa la chiave, verifica che l'impronta mostrata dal tuo strumento coincida con quella di questa pagina, quindi cifra la segnalazione per il destinatario indicato sotto. Non fidarti di una chiave con impronta diversa.

curl -O https://dqmj1.wiki/.well-known/pgp-key.txt
gpg --import pgp-key.txt
gpg --fingerprint [email protected]
gpg --armor --encrypt --recipient [email protected] report.txt

Allega o incolla nel messaggio il file report.txt.asc ottenuto e includi la tua chiave pubblica, così che possiamo rispondere in forma cifrata. Rispondiamo dallo stesso indirizzo.

• L'URL, l'endpoint o il componente interessato.
• Una descrizione della vulnerabilità e del suo impatto potenziale.
• Passaggi chiari per riprodurla, con una prova di concetto minima.
• Il tuo nome o nickname se desideri essere citato (facoltativo).

Nell'ambito

• Il sito dqmj1.wiki e i sottodomini che gestiamo.
• L'API REST pubblica sotto /api/v1 e i widget incorporabili sotto /embed.
• Il codice open source pubblicato su GitHub da questo progetto.

Fuori ambito

• Denial of service, test di carico o di stress e scansioni automatiche ad alto volume.
• Ingegneria sociale, phishing e attacchi fisici.
• Vulnerabilità nei servizi di terze parti che utilizziamo (Cloudflare, Resend, Google, GitHub): segnalale al fornitore.
• Intestazioni o impostazioni di buone pratiche mancanti senza un impatto di sicurezza dimostrato.
• Risultati non verificati di scanner automatici.

Le questioni di diritto d'autore o di marchio non riguardano la sicurezza: scrivi invece a [email protected].

• Confermiamo la ricezione della segnalazione entro 5 giorni lavorativi.
• Forniamo una prima valutazione entro 10 giorni lavorativi e ti teniamo aggiornato sull'avanzamento.
• Correggiamo le vulnerabilità confermate con la rapidità richiesta dalla loro gravità.
• Chiediamo una divulgazione coordinata: ti preghiamo di attendere fino a 90 giorni dalla segnalazione, o il rilascio di una correzione, prima di qualsiasi divulgazione pubblica.
• Ti citiamo nei ringraziamenti qui sotto, a meno che tu non preferisca restare anonimo.

Consideriamo autorizzata la ricerca sulla sicurezza condotta in buona fede e in conformità con questa politica e non intraprenderemo azioni legali contro i ricercatori che:

• si impegnano in buona fede a evitare violazioni della privacy, distruzione di dati e interruzioni del servizio;
• interrompono i test e segnalano subito se raggiungono dati non pubblici;
• non sfruttano una vulnerabilità oltre quanto necessario per dimostrarla;
• mantengono riservati i dettagli fino al rilascio di una correzione o alla fine del periodo di divulgazione.

Questa politica non autorizza test su servizi di terze parti e non rappresenta una rinuncia ai diritti di tali terzi.

Questo è un progetto gratuito e senza scopo di lucro: non abbiamo un programma di bug bounty. Le segnalazioni valide sono citate pubblicamente, con il tuo consenso.

Il sito non ha account utente, accesso né moduli che memorizzano dati personali. L'API REST è pubblica e di sola lettura. Il sito è servito tramite Cloudflare in HTTPS e rifiuta di essere incorporato in frame al di fuori dei widget /embed.

Finora non è stata ricevuta alcuna segnalazione di vulnerabilità. Grazie a tutti coloro che aiutano a mantenere sicuro questo progetto.