Politica di sicurezza e divulgazione responsabile
Aspettative di sicurezza e processo responsabile di segnalazione delle vulnerabilità per X2.
1. Scopo
X2 accoglie con favore segnalazioni in buona fede che aiutano a identificare problemi di sicurezza reali proteggendo al contempo utenti, dati e sistemi di produzione.
2. Reporting
I problemi di sicurezza possono essere segnalati a support@x2records.com. È inoltre possibile segnalare a developer@x2records.com problemi di sicurezza relativi all'API o allo sviluppatore.
3. Ricerca in buona fede
I ricercatori dovrebbero ridurre al minimo l’impatto, accedere solo ai dati necessari per dimostrare una vulnerabilità, evitare la persistenza, evitare l’ingegneria sociale, evitare violazioni della privacy e interrompere i test laddove l’attività continuata potrebbe danneggiare utenti o servizi.
4. Test vietati
Non eseguire attacchi di negazione del servizio, test distruttivi, credential stuffing, distribuzione di malware, attacchi fisici, spam, creazione automatizzata di account su larga scala o accesso a dati oltre quanto necessario per verificare il problema.
5. Riservatezza
Le vulnerabilità, le credenziali, i dati personali e le informazioni riservate sui servizi non pubblici non devono essere divulgati pubblicamente prima che X2 abbia avuto una ragionevole opportunità di indagare e porre rimedio.
6. Sistemi di terze parti
Potrebbe essere necessario segnalare i problemi che riguardano un fornitore di terze parti direttamente a quel fornitore. X2 non può autorizzare test di sicurezza su sistemi che non controlla.
7. Risposta
X2 può riconoscere, indagare, richiedere informazioni aggiuntive, correggere e comunicare soluzioni in base alla gravità, alla riproducibilità e ai sistemi interessati.
8. Nessuna ricompensa automatica per i bug
Questa Politica non crea un programma bug-bounty né promette pagamenti, ricompense o compensi per le segnalazioni a meno che X2 non stabilisca espressamente tale programma per iscritto.
9. Abusi
Le ricerche sulla sicurezza condotte come pretesto per estorsione, accesso non autorizzato, furto di dati, interruzione del servizio o frode non sono protette dalla presente Politica e potrebbero essere soggette ad applicazione.