Vulnerability Disclosure Policy

1. Scopo

TAGMOOD S.R.L. considera importante la collaborazione con ricercatori, utenti e professionisti della sicurezza che segnalano in buona fede possibili vulnerabilità relative a Webmaster360.

Questa policy descrive:

• quali sistemi rientrano nel perimetro;
• come inviare una segnalazione;
• quali attività sono consentite;
• quali attività non sono autorizzate;
• come TAGMOOD gestisce le segnalazioni;
• le condizioni applicabili alla divulgazione coordinata.

Questa policy non costituisce un programma di bug bounty e non prevede automaticamente premi economici o altre ricompense.

2. Contatto per le segnalazioni

Le vulnerabilità possono essere segnalate a:

webmaster360@tagmood.it

Oggetto consigliato:

[SECURITY] Segnalazione vulnerabilità Webmaster360

Quando la segnalazione riguarda anche una possibile violazione di dati personali, è possibile mettere in copia:

privacy@tagmood.it

TAGMOOD non pubblica attualmente una chiave PGP dedicata. Non inviare nella prima email dati personali, credenziali, token, dump, chiavi private o altri contenuti sensibili non necessari.

3. Perimetro

Rientrano nel perimetro:

• il CMS e il back-end Webmaster360;
• i front-end generati o gestiti direttamente dalla piattaforma;
• le API Webmaster360;
• i servizi e i sottodomini riconducibili a Webmaster360 e gestiti direttamente da TAGMOOD;
• i meccanismi di autenticazione, autorizzazione e gestione degli account;
• le funzionalità di pubblicazione, importazione, automazione e gestione dei contenuti;
• le integrazioni sviluppate e controllate direttamente da TAGMOOD;
• le configurazioni infrastrutturali direttamente controllate da TAGMOOD.

Per i siti dei Clienti, la segnalazione rientra nel perimetro soltanto quando il problema deriva dalla piattaforma Webmaster360 o da una componente gestita direttamente da TAGMOOD.

4. Elementi esclusi dal perimetro

Sono esclusi, salvo diversa conferma scritta di TAGMOOD:

• sistemi, servizi e domini di terze parti;
• account, infrastrutture o applicazioni non controllati da TAGMOOD;
• vulnerabilità presenti esclusivamente in contenuti o configurazioni introdotti dal Cliente;
• dispositivi, reti o account personali di dipendenti, collaboratori o Clienti;
• servizi dei fornitori elencati nella pagina dei sub-responsabili;
• il sito corporate pubblico, quando il problema non riguarda un servizio Webmaster360 o un sistema controllato da TAGMOOD.

Le vulnerabilità relative a fornitori terzi dovrebbero essere segnalate direttamente al soggetto responsabile. TAGMOOD può comunque essere informata quando il problema produce un impatto concreto sui servizi Webmaster360.

5. Informazioni da includere

Una segnalazione utile dovrebbe includere, ove possibile:

• descrizione chiara della vulnerabilità;
• URL, endpoint, funzione o componente interessato;
• prerequisiti necessari;
• passaggi minimi per riprodurre il problema;
• impatto potenziale;
• eventuali condizioni che limitano o amplificano l’impatto;
• data e ora approssimativa dei test;
• indirizzo IP utilizzato per i test, se il segnalante desidera comunicarlo;
• screenshot o brevi estratti tecnici privi di dati di terzi;
• possibili misure di mitigazione;
• recapito al quale ricevere aggiornamenti.

È preferibile inviare una segnalazione per ciascuna vulnerabilità, salvo che più problemi facciano parte della stessa catena di attacco.

6. Principi per i test in buona fede

I test devono essere proporzionati e limitati a quanto strettamente necessario per dimostrare l’esistenza della vulnerabilità.

Il segnalante deve:

• utilizzare account e dati propri, ove possibile;
• evitare di accedere ai dati di altre persone o organizzazioni;
• interrompere immediatamente il test qualora vengano visualizzati dati di terzi;
• non modificare, cancellare, copiare o pubblicare dati non propri;
• non compromettere disponibilità, prestazioni o stabilità del servizio;
• non installare software, backdoor o meccanismi di persistenza;
• non utilizzare la vulnerabilità per ottenere vantaggi diversi dalla verifica tecnica;
• conservare in modo sicuro le informazioni raccolte;
• cancellare i dati ottenuti accidentalmente dopo aver ricevuto conferma da TAGMOOD che non sono più necessari;
• mantenere riservata la segnalazione durante il processo di gestione coordinata.

Una prova di concetto deve dimostrare il problema con il livello minimo di accesso, dati e interazione necessario.

7. Attività non autorizzate

Non sono autorizzate:

• interruzioni intenzionali del servizio o attacchi denial-of-service;
• test di carico non concordati;
• social engineering, phishing o impersonificazione;
• tentativi di accesso fisico;
• brute force, password spraying o credential stuffing;
• utilizzo di credenziali ottenute illecitamente o provenienti da violazioni di terzi;
• accesso deliberato ai dati di Clienti o utenti;
• esfiltrazione, download massivo o conservazione di dati;
• modifica o cancellazione di contenuti;
• invio di malware;
• installazione di strumenti persistenti;
• scansioni automatizzate ad alta intensità;
• alterazione di log o evidenze;
• pubblicazione della vulnerabilità prima del coordinamento con TAGMOOD;
• minacce, richieste estorsive o subordinazione della riservatezza al pagamento di una somma.

Le segnalazioni basate esclusivamente sull’output di strumenti automatici, senza verifica dell’impatto e senza elementi riproducibili, possono ricevere una priorità inferiore.

8. Accesso accidentale a dati personali o riservati

Qualora il segnalante acceda accidentalmente a dati personali, credenziali, contenuti non pubblici o informazioni riservate deve:

1. interrompere immediatamente ogni ulteriore accesso;
2. non copiare, scaricare, condividere o utilizzare i dati;
3. informare TAGMOOD nella segnalazione;
4. indicare in modo generale la tipologia e la quantità dei dati visualizzati, senza includerli nell’email;
5. seguire le istruzioni ricevute per la cancellazione sicura delle eventuali copie locali.

TAGMOOD può chiedere informazioni aggiuntive per valutare un possibile incidente, evitando per quanto possibile l’ulteriore trasmissione dei dati interessati.

9. Gestione delle segnalazioni

TAGMOOD si propone di:

• confermare la ricezione della segnalazione, ove possibile, entro 5 giorni lavorativi;
• eseguire una prima valutazione e comunicare l’esito iniziale, ove possibile, entro 10 giorni lavorativi;
• mantenere il segnalante informato sugli sviluppi rilevanti;
• assegnare la priorità in base a impatto, sfruttabilità e diffusione;
• adottare misure di mitigazione o correzione secondo il rischio e la complessità tecnica;
• comunicare, quando possibile, la conclusione della gestione.

I termini sono obiettivi operativi e non costituiscono SLA o garanzie contrattuali.

La risoluzione può richiedere tempi differenti in base a:

• gravità e complessità;
• necessità di coinvolgere fornitori o Clienti;
• rischio di regressioni;
• disponibilità di una mitigazione sicura;
• obblighi legali o di riservatezza.

TAGMOOD può raggruppare segnalazioni duplicate e limitare gli aggiornamenti quando la divulgazione di dettagli potrebbe aumentare il rischio.

10. Divulgazione coordinata

Il segnalante non deve rendere pubblica la vulnerabilità prima che:

• TAGMOOD abbia avuto un tempo ragionevole per analizzarla e mitigarla;
• sia stata concordata una data di divulgazione; oppure
• TAGMOOD abbia comunicato che non intende procedere oltre.

Qualsiasi divulgazione pubblica dovrebbe evitare:

• dati personali;
• credenziali;
• informazioni riservate dei Clienti;
• dettagli che consentano lo sfruttamento immediato di sistemi non ancora aggiornati;
• indicazioni che identifichino utenti o organizzazioni coinvolte.

TAGMOOD valuta in buona fede eventuali richieste di riconoscimento pubblico del contributo, ma non garantisce la pubblicazione del nome del segnalante.

11. Impegno per la ricerca in buona fede

Quando una persona:

• agisce in buona fede;
• rispetta questa policy;
• evita danni e accessi non necessari;
• segnala tempestivamente il problema;
• collabora nella gestione coordinata;

TAGMOOD non intende avviare azioni legali nei suoi confronti per la sola attività di ricerca svolta nel rispetto della presente policy.

Questo impegno non si applica ad attività illecite, dannose, negligenti, estorsive o eccedenti quanto ragionevolmente necessario per verificare la vulnerabilità. La presente policy non autorizza violazioni di legge né può vincolare soggetti terzi.

In caso di dubbio sul fatto che un’attività sia consentita, il ricercatore deve chiedere conferma prima di procedere.

12. Segnalazioni normalmente non considerate vulnerabilità

Salvo impatto concreto e dimostrabile, possono non essere considerate vulnerabilità:

• assenza di header di sicurezza non accompagnata da un rischio sfruttabile;
• informazioni sulle versioni senza una vulnerabilità applicabile;
• clickjacking su pagine prive di operazioni sensibili;
• self-XSS;
• tabnabbing senza impatto dimostrabile;
• problemi che richiedono accesso fisico al dispositivo della vittima;
• attacchi che richiedono un browser o sistema operativo non più supportato;
• mancanza di attributi dei cookie quando il cookie non contiene informazioni sensibili;
• username o email enumeration con impatto trascurabile;
• rate limiting ritenuto insufficiente senza prova di abuso concreto;
• SPF, DKIM o DMARC incompleti senza dimostrazione di un rischio specifico per Webmaster360;
• risultati di scanner automatici non verificati;
• vulnerabilità note di terze parti per le quali non sia dimostrato l’utilizzo della versione interessata;
• raccomandazioni generiche di hardening.

TAGMOOD valuta comunque ogni segnalazione nel proprio contesto.

13. Protezione dei dati del segnalante

TAGMOOD tratta i dati del segnalante per:

• ricevere e gestire la segnalazione;
• comunicare gli aggiornamenti;
• proteggere i servizi;
• documentare le verifiche e le misure adottate;
• adempiere a eventuali obblighi di legge;
• tutelare i propri diritti e quelli dei soggetti coinvolti.

La base giuridica è il legittimo interesse alla sicurezza dei sistemi e, ove applicabile, l’adempimento di obblighi di legge.

I dati sono conservati per il tempo necessario alla gestione, documentazione e tutela connesse alla segnalazione.

Per richieste privacy:

privacy@tagmood.it

14. Aggiornamenti della policy

TAGMOOD può aggiornare questa policy per riflettere modifiche ai servizi, ai processi di sicurezza o alla normativa applicabile.

Ogni versione riporta la data di efficacia e di ultimo aggiornamento.

15. Contatti

Segnalazioni di sicurezza:
webmaster360@tagmood.it

Privacy:
privacy@tagmood.it

PEC:
tagmood@pec.it

Documenti collegati

• Security Overview
• Privacy e protezione dei dati
• Data Processing Agreement
• Sub-responsabili del trattamento
• security.txt