Divulgazione responsabile

Garantite sicurezza e trasparenza grazie alla divulgazione responsabile presso TeamRetro. Scoprite la nostra politica in materia di segnalazione delle vulnerabilità e di tutela dei dati.

Sicurezza SSL

Divulgazione responsabile

I nostri clienti ripongono in noi la loro fiducia per la protezione e la riservatezza dei propri dati. Prendiamo molto sul serio la sicurezza e ci impegniamo costantemente per garantire che tale fiducia sia ben fondata. Avete qualcosa da segnalare? Vi preghiamo di contattarci all’indirizzo security@groupmap.com

Divulgazione responsabile

Invitiamo tutti coloro che adottano un approccio responsabile alla segnalazione delle vulnerabilità e rispettano le nostre politiche e i nostri termini di servizio a partecipare al nostro programma di segnalazione delle vulnerabilità. Si prega di evitare i test automatizzati ed eseguire i test di sicurezza esclusivamente utilizzando i propri dati. Si prega di non divulgare alcuna informazione relativa alle vulnerabilità fino a quando non le avremo risolte. A nostra esclusiva discrezione, potremo offrire un riconoscimento per segnalazioni di alta qualità e di grande rilevanza che dimostrino l’esistenza di un rischio di sicurezza reale.

È possibile segnalare le vulnerabilità contattando security@groupmap.com. Si prega di allegare una prova di concetto. Risponderemo il più rapidamente possibile alla Sua segnalazione e non intraprenderemo azioni legali qualora Lei rispetti le regole.

Copertura:

  • secure.teamretro.com

Esclusioni:

  • *.eu.teamretro.com
  • ww1.teamretro.com
  • ww2.teamretro.com
  • ww3.teamretro.com
  • www.teamretro.com
  • at.teamretro.com
  • help.teamretro.com
  • feedback.teamretro.com
  • mail.teamretro.com
  • status.teamretro.com
  • track.teamretro.com
  • games.teamretro.com
  • planning-poker.teamretro.com
  • www-assets.teamretro.com

Le vulnerabilità accettate sono le seguenti:

  • Cross-Site Scripting (XSS)
  • Reindirizzamento aperto
  • Falsificazione delle richieste tra siti (CSRF)
  • Inclusione di comandi/file/URL
  • Problemi di autenticazione
  • Esecuzione del codice
  • Iniezioni di codice o di database

Il presente programma di segnalazione delle vulnerabilità NON comprende:

  • Enumerazioni di account/indirizzi e-mail
  • Attacco “Denial of Service” (DoS)
  • Attacchi che potrebbero compromettere l’affidabilità o l’integrità della nostra attività
  • Attacchi di spam
  • Clickjacking su pagine prive di autenticazione e/o soggette a modifiche sensibili dello stato
  • Avvisi relativi a contenuti misti
  • Assenza di DNSSEC
  • Falsificazione dei contenuti / inserimento di testo
  • Attacchi basati sul tempo
  • Ingegneria sociale
  • Phishing
  • Cookie non protetti per cookie non sensibili o cookie di terze parti
  • Vulnerabilità che richiedono un’interazione da parte dell’utente estremamente improbabile
  • Vulnerabilità che richiedono l’accesso fisico al computer di un utente
  • Mancanza di intestazioni di sicurezza che non comportano direttamente una vulnerabilità
  • Mancanza delle migliori pratiche (richiediamo la prova dell’esistenza di una vulnerabilità di sicurezza)
  • Rapporti generati da scanner automatici senza un impatto comprovato
  • Mancanza di intestazioni di sicurezza senza che sia stato dimostrato l’esistenza di un exploit
  • Problemi di configurazione SSL/TLS in assenza di un exploit comprovato
  • Mancanza di limitazione della velocità
  • Self-XSS (richiede che la vittima incolli il codice nella propria console)
  • Accesso/uscita CSRF
  • Vulnerabilità che richiedono browser obsoleti o non più supportati
  • Segnalazioni duplicate o problemi già noti

Requisiti per la presentazione

Tutte le segnalazioni devono contenere le seguenti informazioni, pena la mancata presa in esame:

  • URL o endpoint interessato
  • Istruzioni dettagliate per la riproduzione
  • Dimostrazione di fattibilità (screenshot, video o codice)
  • Descrizione dell’impatto sulla sicurezza

Non è consentita la scansione automatizzata senza previa autorizzazione scritta. Tutti i test devono essere eseguiti manualmente e tutti i dettagli relativi al programma di segnalazione delle vulnerabilità devono rimanere riservati.

Desideriamo esprimere i nostri ringraziamenti ai seguenti ricercatori nel campo della sicurezza:

  • Abin Joseph
  • daniel_v
  • Ananda Dhakal
  • Luiz Viana
  • Aman Gupta
  • Vipul Sahu
  • Hsu Myat Noe
  • Tomasz Bartoszewski
  • Harry Gertos
  • Sathwik Veeramaneni
  • Yassine Nafiai
  • SIDN SOC
  • Burhan Chhotaudepur
  • Faizan Nehal
  • Aaditya Kumar Sharma
  • Syed Ahsan Raza
  • Mohammed Eldawody
  • Yaniv Shoshani
  • Lucas Werkmeister
  • Ankit Rathva