Politica di divulgazione delle vulnerabilità

• Questo sito, earbunny.app, e i sottodomini che gestiamo.
• La dashboard web per i genitori.
• La nostra API, così come la usano le app e la dashboard web.
• L'app per iOS, compresi l'app per Apple Watch e i widget.

• Attacchi di tipo denial of service e test di carico o di stress.
• Ingegneria sociale o phishing ai danni del nostro team, dei nostri utenti o dei nostri fornitori.
• Attacchi fisici a uffici, data center o dispositivi.
• Spam, o l'invio di molti messaggi tramite il modulo di contatto o la registrazione.
• Servizi gestiti da terzi (per esempio App Store, Cloudflare, Vercel o Sentry). Segnalali direttamente al fornitore.
• Segnalazioni di scanner automatici senza un impatto dimostrato e sfruttabile.

• Usa account di prova creati da te. Se ti serve una seconda famiglia per testare le regole di accesso, crea una seconda famiglia di prova.
• Non accedere ai dati di altre persone, non modificarli e non cancellarli. Se arrivi per errore ai dati di qualcun altro, fermati, prendi solo ciò che serve a dimostrare il problema e avvisaci.
• Niente test distruttivi: non degradare i nostri servizi, non cancellare dati e non lasciare modifiche permanenti.
• Mantieni riservati i dettagli finché non avremo risolto il problema e concordato con te la divulgazione.
• Agisci in buona fede e nel rispetto della legge.

Scrivi a security [at] earbunny.app. Indica per favore:

• Cosa hai trovato e dove (URL, endpoint o schermata dell'app, versione dell'app).
• Le istruzioni passo passo per riprodurlo, con screenshot o un breve video se può essere utile.
• L'impatto che secondo te ha.
• Come possiamo contattarti, e se vuoi essere ringraziato con il tuo nome.

L'email cifrata (PGP) non è ancora disponibile. Non inviarci dati personali di altre persone; se devi condividere qualcosa di sensibile, descrivilo e concorderemo un modo sicuro per scambiarlo.

• Confermiamo la ricezione della tua segnalazione entro 3 giorni lavorativi.
• La analizziamo e ti comunichiamo la nostra valutazione entro 10 giorni lavorativi.
• Ti teniamo aggiornato finché il problema non è risolto, e ti avvisiamo quando lo è.
• Se lo desideri, ti diamo credito una volta pubblicata la correzione.

Per ora non abbiamo un programma di bug bounty a pagamento. Siamo un team piccolo e preferiamo dirlo apertamente piuttosto che promettere qualcosa che non possiamo mantenere. Con il tuo permesso, inseriamo chi ci ha aiutato in un elenco di ringraziamenti su questa pagina.

I nostri contatti e questa politica sono pubblicati anche in un formato leggibile dalle macchine all'indirizzo /.well-known/security.txt. Per una panoramica di come proteggiamo i dati, consulta la pagina Sicurezza.