Programma bug bounty.
Cyril gestisce un programma di divulgazione coordinata delle vulnerabilità. Accogliamo le segnalazioni dei ricercatori di sicurezza in buona fede e ci impegniamo a non intraprendere mai azioni legali contro chi rispetta questa policy.
Come segnalare
Scrivi a security@getcyril.com. Un solo messaggio con questi cinque elementi ci permette di riprodurre il problema alla prima lettura.
Includi
- Una descrizione chiara della vulnerabilità e del suo impatto potenziale
- Istruzioni passo passo per riprodurla, idealmente con un proof-of-concept minimo
- Gli URL, gli endpoint e l’eventuale contesto di account necessario
- La tua stima CVSS e il livello di gravità (lo correggeremo se serve)
- Se desideri un riconoscimento pubblico, e con quale nome
Confermeremo la ricezione entro 2 giorni lavorativi. Se entro quel termine non hai notizie, invia di nuovo il messaggio: potrebbe essere stato filtrato.
Gravità e tempi di risposta
| Gravità | CVSS v3.1 | Esempi | Prima risposta prevista |
|---|---|---|---|
| Critica | 9.0–10.0 | Esecuzione di codice da remoto; compromissione completa del database; esposizione di dati fra tenant; aggiramento del flusso di pagamento | 24 ore |
| Alta | 7.0–8.9 | Escalation di privilegi da autenticato; SSRF che raggiunge servizi interni; aggiramento dell’autenticazione su un singolo endpoint | 48 ore |
| Media | 4.0–6.9 | XSS persistente in un’area autenticata; CSRF su un endpoint che modifica lo stato; IDOR con raggio d’azione limitato | 5 giorni lavorativi |
| Bassa | 0.1–3.9 | XSS riflesso che richiede l’interazione della vittima; limiti di frequenza mancanti senza possibilità di abuso; fughe di informazioni | 10 giorni lavorativi |
Sono tempi per la prima analisi, non tempi di risoluzione. Condivideremo una tempistica di correzione appena il problema sarà riprodotto e delimitato. Sono obiettivi: l’impegno che ci assumiamo davvero è la conferma di ricezione qui sopra, entro 2 giorni lavorativi, qualunque sia la gravità. Cyril è un piccolo team senza una reperibilità 24 ore su 24, e preferiamo dirtelo piuttosto che pubblicare un numero che non sempre riusciremmo a rispettare.
Incluso nell’ambito
Gli host sono elencati esattamente come sono. Se un host non è qui, non rientra nell’ambito.
app.getcyril.comFrontend dell’app per il personaleapi.getcyril.comAPI REST pubblica + endpoint di audit MCPadmin.getcyril.comFrontend di amministrazione della piattaformaportal.getcyril.comFrontend del portale clientigetcyril.comQuesto sito, compresi gli endpoint di raccolta contatti e di segnalazione*.getcyril.comSottodomini delle organizzazioni, quando saranno disponibili. Esclusi gli host con il suffisso -staging: vedi sotto.Escluso dall’ambito
- Risultati su ambienti di staging o di sviluppo (
*-staging.getcyril.com) - Servizi di terze parti da cui dipendiamo: segnalali direttamente a quel fornitore
- Ingegneria sociale ai danni di personale, clienti o fornitori
- Attacchi fisici a strutture, hardware o persone
- Attacchi denial-of-service o volumetrici
- Spam, phishing o qualsiasi cosa che contatti terzi senza il loro consenso
- Risultati riproducibili solo con credenziali ottenute per forza bruta o token rubati
- Vulnerabilità che riguardano chi usa browser non aggiornati (supportiamo le ultime due versioni principali di Chrome, Firefox, Safari ed Edge)
- Self-XSS, header di sicurezza mancanti senza un impatto dimostrato, limiti di frequenza mancanti senza possibilità di abuso
- Segnalazioni basate sull’output di scanner automatici senza un proof-of-concept funzionante
Safe harbour
Se agisci in buona fede e rispetti questa policy, Cyril considera la tua ricerca una condotta autorizzata. Non intraprenderemo azioni legali contro di te, neppure ai sensi del Computer Misuse Act 1990 (Regno Unito), del Computer Fraud and Abuse Act (USA) o di leggi analoghe in altre giurisdizioni, e collaboreremo con i nostri sub-responsabili e con le forze dell’ordine, se necessario, per garantire questa tutela.
In cambio, ti impegni a:
- Interrompere i test appena hai confermato la vulnerabilità, senza estrarre più dati del minimo necessario a dimostrarne l’impatto.
- Non accedere, modificare o distruggere dati di altri utenti o organizzazioni.
- Non interrompere il servizio per gli altri utenti.
- Non divulgare pubblicamente la vulnerabilità prima che abbiamo avuto un’occasione ragionevole per correggerla (di solito 90 giorni, con proroghe concordate per iscritto per le correzioni complesse).
- Rispettare tutte le leggi applicabili.
Riconoscimento
Per ora il programma di Cyril prevede solo un riconoscimento. Con il tuo consenso, citiamo pubblicamente in questa pagina chi ci ha segnalato un problema, dopo che la correzione è stata rilasciata ed è trascorso un periodo ragionevole prima della divulgazione.
Stiamo valutando ricompense in denaro man mano che la piattaforma cresce. Quando arriveranno, la tabella dei premi comparirà qui con importi minimi espliciti per gravità e con le regole sulle vulnerabilità idonee, e chi avrà inviato una segnalazione idonea prima del cambiamento verrà compensato retroattivamente.
Sicurezza, residenza dei dati e AI sono trattati nel Centro sicurezza.
Centro sicurezza