1. Segnalare una vulnerabilità
Se scopre una vulnerabilità di sicurezza, ci scriva a security@aukilo.com (o a contact@aukilo.com con «[SECURITY]» nell'oggetto).
Confermiamo la ricezione entro 72 ore lavorative e la aggiorniamo sugli sviluppi.
Per accelerare il triage, indichi se possibile:
- una descrizione chiara della vulnerabilità e del suo impatto;
- i passi per riprodurla;
- la versione dell'app o l'URL interessato;
- il suo nickname se desidera essere accreditato·a.
2. Ambito
Questa politica copre:
- il sito web e i sottodomini di aukilo.com, inclusa la web app app.aukilo.com;
- l'app mobile Aukilo (iOS e Android);
- le Edge Functions Supabase distribuite nel progetto ufficiale.
3. Fuori ambito
I seguenti elementi non sono coperti e non sono idonei alla divulgazione responsabile:
- attacchi di tipo denial of service (DOS / DDoS);
- phishing e ingegneria sociale contro team o utenti;
- scraping massivo o tentativi di aggirare le quote;
- vulnerabilità già note o in corso di correzione;
- servizi di terzi (Vercel, Supabase, Firebase, Google) — da segnalare direttamente al fornitore;
- indirizzi email obsoleti o domini parcheggiati.
4. Il nostro impegno
Se rispetta le regole di questa politica:
- non intraprenderemo azioni legali contro di lei;
- collaboreremo con lei per confermare e correggere la vulnerabilità;
- la accrediteremo pubblicamente (con il suo consenso) una volta deployato il fix;
- pubblicheremo un post-mortem anonimo quando pertinente.
Aukilo non gestisce (ancora) un programma bug bounty retribuito. Il riconoscimento è simbolico.
5. Regole da rispettare
Per beneficiare del nostro impegno, per favore:
- non accedere né modificare dati utente senza il loro consenso;
- non degradare il servizio né interromperne il funzionamento;
- non divulgare pubblicamente la vulnerabilità prima che la correggiamo;
- non sfruttare la vulnerabilità oltre la prova di concetto minima.
6. Dati utenti
Aukilo tratta dati personali ai sensi del GDPR e della nostra privacy policy. Se una vulnerabilità espone dati personali, applicheremo gli obblighi di notifica previsti dalla normativa (CNIL, utenti interessati).
7. Contatto
Per ogni domanda su questa politica: security@aukilo.com.
Chiave PGP disponibile su richiesta per segnalazioni sensibili.