Policy di responsible disclosure

Cosa rientra nel programma

• il sito gameshard.io e i suoi sottodomini, compresi accounts.gameshard.io e le pagine degli Hub;
• le API pubbliche di GameShard e il flusso «Accedi con GameShard» (OAuth 2.0 e OpenID Connect);
• l'app mobile GameShard e il bot Discord ufficiale, quando saranno pubblicati.

Non rientrano i servizi di terzi che usiamo o a cui ci colleghiamo, come Discord, Steam, Riot Games, Cloudflare o i provider di pagamento: segnala i loro problemi direttamente a loro. Non rientrano neppure i domini personalizzati degli Hub Whitelabel per quanto riguarda la loro configurazione DNS e di posta, che gestisce l'Hub.

Come segnalare

Scrivi a security@gameshard.io, in italiano o in inglese. Per aiutarci a riprodurre il problema in fretta, indica:

• dove si trova la vulnerabilità (indirizzo, endpoint, versione dell'app);
• che cosa permette di fare a un attaccante e con quale impatto;
• i passaggi per riprodurla, con richieste, script o screenshot;
• come preferisci essere citato se ti ringraziamo pubblicamente, oppure se preferisci restare anonimo.

Una segnalazione per vulnerabilità è più facile da seguire di un elenco. Non mandarci dati personali di altre persone: se per dimostrare il problema hai visto dati altrui, descrivili senza copiarli.

In quanto tempo rispondiamo

• confermiamo di aver ricevuto la segnalazione entro 3 giorni lavorativi;
• ti diamo una prima valutazione, con la gravità che le attribuiamo, entro 10 giorni lavorativi;
• ti aggiorniamo almeno ogni 14 giorni finché il problema non è risolto, e ti avvisiamo quando la correzione è online.

Correggiamo prima le vulnerabilità più gravi. Ti chiediamo di aspettare che la correzione sia online prima di pubblicare dettagli; se dopo 90 giorni dalla segnalazione non l'abbiamo ancora rilasciata, concordiamo con te tempi e contenuti della divulgazione.

Regole per una ricerca in buona fede

Ti chiediamo di:

• usare solo account tuoi o account di prova creati da te, e accedere ai dati di altri solo nella misura minima necessaria a dimostrare il problema;
• fermarti appena raggiungi dati personali, credenziali o pagamenti di altre persone, non conservarli e cancellarli quando la segnalazione è chiusa;
• non modificare né cancellare dati altrui, non alterare tornei, risultati o classifiche in corso;
• non degradare il servizio: niente attacchi di negazione del servizio, niente spam, niente scansioni automatiche ad alto volume;
• non usare ingegneria sociale, phishing o accessi fisici contro persone, staff o fornitori di GameShard;
• non sfruttare la vulnerabilità oltre il necessario e non rivelarla ad altri prima della correzione.

Come ti tuteliamo

Se rispetti queste regole consideriamo la tua ricerca autorizzata e svolta in buona fede: non intraprendiamo azioni legali contro di te e non ti denunciamo alle autorità per averla svolta. Se un terzo ti contesta un'attività svolta nel rispetto di questa policy, lo diremo chiaramente.

Questa tutela riguarda solo i sistemi di GameShard: non possiamo autorizzare test sui servizi di terzi. Se non sei sicuro che un'attività rientri nelle regole, scrivici prima di procedere.

Riconoscimenti

Al momento non offriamo ricompense in denaro. Chi segnala per primo una vulnerabilità che confermiamo e correggiamo riceve, se lo desidera, il badge White Hat sul profilo GameShard e il suo nome nella Hall of Fame della sicurezza.

Segnalazioni che di solito non accettiamo

• risultati di scanner automatici senza una dimostrazione dell'impatto;
• header di sicurezza o impostazioni TLS mancanti senza un attacco concreto che ne approfitti;
• clickjacking su pagine senza azioni sensibili, self-XSS, CSRF su azioni senza effetti, come l'uscita;
• enumerazione di username o profili, che su GameShard sono pubblici;
• assenza di limiti di frequenza su funzioni non sensibili;
• problemi che richiedono un dispositivo già compromesso o un browser non più aggiornato.

security.txt

Questa policy e l'indirizzo per le segnalazioni sono pubblicati anche in gameshard.io/.well-known/security.txt, nel formato dello standard RFC 9116.