Segnalare vulnerabilità di sicurezza

Se scopri una vulnerabilità di sicurezza in Adkumo, segnalala in modo responsabile:

Tempo di risposta: Ci impegniamo a confermare la ricezione delle segnalazioni di sicurezza entro 48 ore.

Cosa includere nel tuo rapporto

• Descrizione della vulnerabilità
• Passaggi per riprodurre il problema
• Impatto potenziale e valutazione della gravità
• Codice proof-of-concept (se applicabile)
• Le tue informazioni di contatto per il follow-up

Ambito

Nell'ambito

• Bypass dell'autenticazione e dell'autorizzazione
• Esposizione o perdita di dati (PII, dati del marchio, campagne)
• SQL injection, XSS, CSRF e altri attacchi di injection
• Problemi di sicurezza API e controlli di accesso difettosi
• Vulnerabilità dell'infrastruttura (se identificate)
• Riferimenti diretti a oggetti non sicuri (IDOR)
• Server-Side Request Forgery (SSRF)

Fuori dall'ambito

• Attacchi di ingegneria sociale contro il nostro team o gli utenti
• Attacchi Denial of Service (DoS/DDoS)
• Problemi di sicurezza fisica
• Problemi che richiedono un'interazione utente improbabile
• Problemi di spam o qualità dei contenuti
• Vulnerabilità in servizi di terze parti che non controlliamo

Politica Safe Harbor

Consideriamo la ricerca sulla sicurezza condotta in buona fede come test autorizzati. Non intraprenderemo azioni legali contro i ricercatori che:

• Segnalano le vulnerabilità in modo privato e responsabile
• Evitano la distruzione dei dati, violazioni della privacy o interruzioni del servizio
• Non sfruttano le scoperte oltre quanto necessario per dimostrare il problema
• Fanno uno sforzo in buona fede per conformarsi a questa politica

Riconoscimento

Apprezziamo i ricercatori di sicurezza che contribuiscono a mantenere sicuro Adkumo. Con il tuo permesso:

• Riconosceremo pubblicamente il tuo contributo (a meno che tu non preferisca l'anonimato)
• Forniremo aggiornamenti sull'avanzamento delle correzioni
• Lavoreremo con te per comprendere e correggere la vulnerabilità

Le nostre misure di sicurezza

Implementiamo più livelli di sicurezza per proteggere i tuoi dati:

Crittografia dei dati

• In transito: Crittografia TLS 1.3 per tutte le trasmissioni di dati
• A riposo: Crittografia AES-256 per i dati memorizzati
• Password: Hashing bcrypt con salt

Autenticazione e controllo degli accessi

• Autenticazione sicura tramite Supabase Auth
• Politiche di sicurezza a livello di riga (RLS) su tutte le tabelle
• Controllo degli accessi basato sui ruoli (RBAC)
• Gestione delle sessioni con token sicuri

Sicurezza dell'infrastruttura

• Hosting su infrastruttura sicura e conforme al GDPR
• Aggiornamenti di sicurezza e patch regolari
• Firewall e segmentazione della rete
• Protezione DDoS

Sicurezza dell'applicazione

• Validazione e sanificazione degli input
• Protezione contro attacchi XSS, CSRF e di injection
• Progettazione API sicura con limitazione del tasso
• Audit di sicurezza regolari e revisioni del codice

Protezione dei dati

• Posizione dei dati: Infrastruttura basata nell'UE (conforme al GDPR)
• Backup: Backup crittografati regolari con conservazione sicura
• Log di accesso: Registrazione e monitoraggio completi
• Responsabili del trattamento: Servizi di terze parti verificati con DPA

Servizi di terze parti

Ci affidiamo a fornitori di servizi affidabili e orientati alla sicurezza:

• Supabase: Database, autenticazione e archiviazione (infrastruttura UE)
• Google AI: Integrazione diretta con l'API Gemini per l'elaborazione IA

Tutti i responsabili del trattamento sono conformi al GDPR e operano in base ad accordi sul trattamento dei dati.

Risposta agli incidenti

In caso di incidente di sicurezza:

1. Indagheremo e conterremo immediatamente l'incidente
2. Valuteremo l'impatto e gli utenti interessati
3. Notificheremo gli utenti interessati entro 72 ore (requisito GDPR)
4. Lavoreremo per risolvere la vulnerabilità
5. Condurremo una revisione post-incidente per prevenire il ripetersi

Conformità e certificazioni

• GDPR: Piena conformità con la normativa europea sulla protezione dei dati
• SOC 2: In corso (previsto per il 2026)
• ISO 27001: Obiettivo di certificazione futuro

Best practice di sicurezza per gli utenti

Aiutaci a mantenere sicuro il tuo account:

• Usa una password forte e unica
• Abilita l'autenticazione a due fattori (quando disponibile)
• Non condividere le tue credenziali
• Controlla regolarmente l'attività del tuo account
• Segnala immediatamente attività sospette
• Proteggi il tuo indirizzo e-mail (usato per il reset della password)

Politiche correlate

• Informativa sulla Privacy
• Termini di Servizio
• Impressum