Divulgazione responsabile delle vulnerabilità
La sicurezza degli utenti e dei dati è fondamentale. Qui sotto trovi le istruzioni su come segnalarci le vulnerabilità in modo sicuro, senza timore di conseguenze legali.
Usiamo i dati reali esclusivamente per verificare e correggere i bug.
Scrivi al team di sicurezzaInvia tutte le segnalazioni a security@ebusi.si. Includi una descrizione della vulnerabilità, i passaggi per riprodurla e l'impatto previsto.
Invia un messaggioSe la segnalazione contiene dati sensibili, usa la chiave PGP (Curve25519) pubblicata nel file security.txt.
Scarica la chiaveConfermiamo la ricezione entro tre giorni lavorativi. Ti aggiorniamo man mano sull'avanzamento della correzione nella stessa conversazione email.
Vulnerabilità che rientrano nell'ambito:
- Tutti gli ambienti di produzione e di test sul dominio *.ebusi.si, incluse le API e l'app PWA.
- Vulnerabilità che espongono dati personali, consentono un accesso non autorizzato o la modifica dei dati GTFS.
- API e integrazioni che offriamo al Comune o al pubblico (ad es. /api/vehicles).
Fuori ambito (senza ricompense né riconoscimenti):
- Attacchi DoS/DDoS, attacchi brute-force e test di carico automatizzati.
- Ingegneria sociale, phishing o accesso fisico a dispositivi di terzi.
- Bug derivanti da servizi di fornitori terzi (ad es. MapLibre, Google Workspace).
Esegui i test sui tuoi account e usa set di dati minimi. Non raccogliere né trasferire i dati personali degli utenti ed evita modifiche ai database di produzione.
Se scopri una vulnerabilità critica, coordinati con noi prima della divulgazione pubblica. In cambio offriamo trasparenza e – se lo desideri – un ringraziamento pubblico.
Processo di risposta
1. Prepara una segnalazione sicura
Descrizione, impatto, screenshot e log. Usa PGP se necessario ed esegui i test sui tuoi account.
2. Conferma e analisi
Entro tre giorni confermiamo la ricezione e riproduciamo internamente la vulnerabilità. Concordiamo una scadenza realistica per la correzione.
3. Correzione e riscontro
Una volta completata con successo la correzione, ti avvisiamo e – se lo desideri – citiamo volentieri il tuo nome nei ringraziamenti.
Safe harbour
Tutela legale per i ricercatori
Se rispetti questa politica e non ne superi l'ambito, non intraprenderemo azioni legali. Il nostro obiettivo è un trasporto pubblico più sicuro per tutti gli utenti.