Politica di sicurezza
Trovi di seguito la nostra politica in materia di sicurezza.
Segnalazione di una vulnerabilità
La sicurezza dei nostri moduli e dei nostri clienti è fondamentale.
Per questo motivo incoraggiamo i ricercatori di sicurezza a condurre analisi sui nostri moduli e a segnalarci qualsiasi vulnerabilità identificata, nel rispetto delle buone pratiche di divulgazione responsabile.
Ci impegniamo a identificare e correggere ogni vulnerabilità e a comunicare in modo trasparente con le parti interessate durante tutto il processo.
Se ritiene di aver scoperto una vulnerabilità in uno dei nostri moduli, può segnalarcela in modo responsabile tramite l'indirizzo: [email protected]
La invitiamo a fornirci il maggior numero di dettagli possibile (descrizione, impatto, versione interessata, passaggi per la riproduzione).
La nostra politica di gestione delle vulnerabilità
Il nostro team applica i seguenti principi:
- Conferma di ricezione di ogni segnalazione pertinente entro un massimo di 7 giorni. (CVSS ≥ 4.0)
- Analisi dell'impatto e pianificazione di una correzione entro un massimo di 30 giorni.
- Pubblicazione di un avviso di sicurezza con CVE se il punteggio CVSS è ≥ 7.5)
- Nessuna correzione sarà pubblicata in modo silenzioso.
Parallelamente, prendiamo i seguenti impegni per garantire una gestione responsabile ed etica delle vulnerabilità:
- Non perseguire i ricercatori che agiscono in buona fede.
- Garantire che nessun accordo di riservatezza, inclusi quelli in white label, possa ostacolare la pubblicazione trasparente di un avviso di sicurezza con identificativo CVE, nel rispetto dello stato dell'Arte.
Siamo ben consapevoli che questa trasparenza è essenziale per consentire alle terze parti interessate (agenzie, commercianti, ecc.) di soddisfare i loro obblighi di conformità, in particolare nell'ambito dello standard PCI-DSS o di una delle sue versioni semplificate, come la SAQ-A.
Autorizzazione alla pubblicazione
Autorizziamo espressamente qualsiasi azienda a pubblicare le informazioni relative alle vulnerabilità corrette dei nostri moduli sul proprio sito ufficiale, in conformità con gli impegni della Carta di cybersicurezza responsabile.
Questa pubblicazione comprende:
- Un identificativo CVE associato alla vulnerabilità.
- Una nota di sicurezza che descrive chiaramente il problema e la sua risoluzione.
- Le versioni interessate e la versione corretta.
- Una correzione facile da implementare quando l'aggiornamento non è possibile.
- Qualsiasi informazione utile che consenta agli utenti e alle agenzie di proteggersi rapidamente
Ultimo aggiornamento: 28 agosto 2025
