Politica di Vulnerability Disclosure
Apprezziamo le segnalazioni responsabili. Questa pagina spiega come comunicarci una vulnerabilità e quali regole rispettare.
Ultimo aggiornamento: 23/06/2026
noze S.r.l. considera la sicurezza una priorità. Se hai individuato una possibile vulnerabilità nei nostri servizi pubblici, ti chiediamo di segnalarcela in modo responsabile seguendo le indicazioni qui sotto.
1. Come segnalare
Per inviare una segnalazione usa il nostro modulo di contatto: l'argomento «Segnalazione di sicurezza» è già preselezionato. Per aiutarci a riprodurre e valutare il problema, includi nel messaggio, quando possibile:
- una descrizione chiara della vulnerabilità e del suo potenziale impatto;
- i passi necessari per riprodurla (URL, parametri, payload non distruttivi);
- ogni dettaglio utile a riprodurre il problema (log, evidenze testuali), evitando di includere dati personali di terzi.
Lo stesso canale è indicato in /.well-known/security.txt secondo lo standard RFC 9116.
2. Lingue accettate
Accettiamo segnalazioni in italiano e in inglese.
3. Ambito
La presente policy riguarda i domini e i sottodomini di proprietà di noze (ad esempio www.noze.it e i relativi sottodomini). Le piattaforme di terze parti che utilizziamo (ad esempio servizi di newsletter, anti-bot, analytics o hosting) restano soggette ai rispettivi programmi di sicurezza: eventuali problemi che le riguardano vanno segnalati anche ai relativi fornitori.
4. Regole di condotta
Per proteggere utenti, dati e continuità del servizio, ti chiediamo di non:
- eseguire attacchi Denial of Service (DoS/DDoS) o test di carico/stress;
- condurre social engineering, phishing o tentativi di inganno verso personale, clienti o fornitori;
- inviare spam o messaggi massivi tramite i nostri moduli;
- accedere, modificare, esfiltrare o conservare dati personali di terzi;
- effettuare scraping massivo o scansioni aggressive e ad alto volume;
- eseguire test distruttivi o che degradino la disponibilità e l'integrità dei servizi.
I test devono essere autorizzati, mirati e a basso impatto. Limita le verifiche al minimo necessario a dimostrare il problema e interrompi l'attività non appena hai raccolto la prova.
5. Presa in carico
Ci impegniamo a confermare la ricezione delle segnalazioni il prima possibile e a valutarle con attenzione. Al momento non è attivo un programma di ricompense (bug bounty): non sono previste ricompense economiche per le segnalazioni.
6. Buona fede
Nei confronti di chi agisce in buona fede, nel rispetto di questa policy e della normativa applicabile, non intraprenderemo azioni legali relative all'attività di ricerca svolta. Ti chiediamo di concederci un tempo ragionevole per analizzare e correggere il problema prima di renderlo pubblico.