Bozza — documento in corso di revisione da parte di un giurista. Questa politica potrà essere precisata dopo la revisione.

Traduzione fornita a titolo informativo: fa fede esclusivamente la versione francese di questo documento. Version française

Segnalare una vulnerabilità

Politica di divulgazione responsabile

Avete trovato una falla di sicurezza in Omnifloo Office? Vi preghiamo di segnalarcela prima di qualsiasi divulgazione pubblica: ci permette di correggerla e di proteggere gli utenti.

1. Come scriverci

Inviate il vostro messaggio a securite@omnifloo.com, in francese o in inglese. Queste informazioni ci aiutano a riprodurre il problema:

l'indirizzo o la funzione interessata e il tipo di falla;
i passaggi per riprodurla, se possibile con una schermata o un breve script;
l'impatto che avete constatato o che temete;
un modo per rispondervi e il nome con cui desiderate essere ringraziati, se lo desiderate.

Le stesse informazioni di contatto sono pubblicate in forma leggibile dalle macchine nel file security.txt (RFC 9116). Non allegate dati personali reali: descriveteli piuttosto.

2. Cosa ci impegniamo a fare

Confermare la ricezione della vostra segnalazione entro 3 giorni lavorativi.
Valutare la gravità, tenervi informati sull'avanzamento e avvisarvi quando la falla è corretta.
Correggere per prime le falle più gravi, senza una scadenza fissa garantita: la durata dipende dalla complessità.
Non avviare azioni legali contro una persona che ha agito in buona fede e rispettato le regole qui sotto.
Citare il vostro nome nei ringraziamenti, se lo desiderate. Non offriamo ricompense economiche.

3. Cosa vi chiediamo

Limitare i test allo stretto necessario per dimostrare la falla, senza consultare, modificare o eliminare dati che non sono vostri.
Non degradare il servizio: nessun attacco di tipo denial of service, nessun test di carico, nessuno spam.
Non sfruttare la falla oltre la dimostrazione e non comunicarla a terzi.
Concederci un tempo ragionevole per correggere prima di qualsiasi pubblicazione; in mancanza di accordo, 90 giorni dopo la vostra segnalazione.

4. Ambito

Rientrano nell'ambito: il portale Omnifloo Office, lo spazio file, il server di modifica dei documenti e gli altri servizi accessibili sotto il dominio omnifloo.com e i suoi sottodomini. Non rientrano in questa politica: l'ingegneria sociale (phishing verso il nostro team o i nostri utenti), le intrusioni fisiche, i servizi dei nostri fornitori (hosting, posta, pagamento), che hanno procedure proprie, e le segnalazioni di strumenti automatici senza impatto dimostrato.

5. Stato dell'arte

Le misure di sicurezza adottate sono descritte nella pagina Sovranità e hosting. Il codice del portale è stato oggetto di audit interni seguiti da correzioni e contro-audit. Finora non è stato eseguito alcun penetration test da parte di un terzo indipendente: è uno dei motivi per cui la vostra segnalazione è preziosa.