Politica di sicurezza
Ultimo aggiornamento: 2026-05-13
Prendiamo sul serio la sicurezza. Questa politica spiega come segnalare una vulnerabilità, cosa promettiamo in cambio e cosa rientra nell'ambito. I metadati canonici per i ricercatori di sicurezza si trovano anche su /.well-known/security.txt (RFC 9116).
1. Come segnalare
Scrivi a [email protected] - chiave PGP su richiesta. Un programma HackerOne (https://hackerone.com/elido) è indicato nel nostro security.txt; l'email è il canale che monitoriamo. Includi i passaggi per riprodurre il problema, l'URL/endpoint interessato e l'impatto che hai osservato. Non pubblicare dettagli prima che abbiamo coordinato una correzione.
2. SLA di risposta
Prima risposta: obiettivo di 24 ore. Classificazione con valutazione della gravità: entro 5 giorni lavorativi. Obiettivo di risoluzione: 14 giorni per Alta/Critica, 30 giorni per Media/Bassa. Se una correzione richiede più tempo (ad esempio, l'attesa di una dipendenza di terze parti), ti terremo aggiornato settimanalmente.
3. Nell'ambito
elido.app (marketing), app.elido.app (dashboard), api.elido.app (REST + GraphQL), elido.me / f.elido.me / s.elido.me / b.elido.me (livelli di reindirizzamento), docs.elido.app, le app Elido iOS e Android, gli SDK Elido ufficiali e il server Elido MCP.
4. Fuori ambito
Servizi di terze parti che utilizziamo (il nostro livello di autenticazione e provider di identità, il nostro provider di chat di supporto, Cloudflare, Anthropic, monobank Plata, Coinbase Commerce, WorkOS, Resend) - si prega di segnalare direttamente a loro. Brute-forcing di endpoint con limitazione di frequenza (li testiamo noi stessi). Ingegneria sociale del personale Elido. Attacchi volumetrici / DoS. Risultati che dipendono dall'installazione di software dannoso da parte della vittima al di fuori di Elido. Reindirizzamento aperto tramite il link breve stesso - questo è il servizio.
5. Porto sicuro
Se ti impegni in buona fede a rispettare questa politica, non intraprenderemo azioni legali e collaboreremo con te per comprendere e risolvere il problema. Nello specifico: test su account di tua proprietà, non esfiltrare dati di produzione, non impattare su altri clienti e non divulgare pubblicamente prima che abbiamo rilasciato una correzione.
6. Ricompense
Stiamo avviando un bug bounty a pagamento su HackerOne. La tabella indicativa dei compensi (USD) è Critica $3000, Alta $1500, Media $500, Bassa $200, Trivial $50 in equivalente di gadget, ma i compensi vengono corrisposti solo per segnalazioni accettate nell'ambito di un programma attivo e l'importo dipende da impatto, novità e qualità della segnalazione. Finché non sarà attivo, i compensi sono discrezionali. Con il tuo consenso elenchiamo le segnalazioni valide su /legal/security-acknowledgments.
7. Ringraziamenti
Attribuiamo pubblicamente il merito ai ricercatori che ci aiutano su /legal/security-acknowledgments - pseudonimo o nome reale a tua scelta, e solo dopo che il problema è stato risolto.