Divulgazione di sicurezza

Segnalazione di una vulnerabilità

Se credi di aver trovato un problema di sicurezza che riguarda Kotao, segnala a security@kotao.com. Puoi cifrare i dettagli sensibili con la nostra chiave OpenPGP pubblica. Includi abbastanza dettagli per permetterci di riprodurre il problema, idealmente con passaggi, URL interessati e qualsiasi materiale di proof‑of‑concept.

Ambito

In ambito:

• I domini e sottodomini di kotao.com.
• La piattaforma Kotao e i suoi moduli (POS, PMS, CRM, ERP, RMS, HRM, CMS, BTP, pagamenti).

Fuori ambito:

• Servizi di terze parti e infrastruttura esterna — segnala direttamente al fornitore pertinente.
• Attacchi di denial‑of‑service contro l’infrastruttura di produzione.
• Social engineering di personale, appaltatori o clienti.
• Attacchi fisici contro gli uffici Kotao o le strutture di hosting.
• Problemi che richiedono accesso privilegiato alla rete per essere sfruttati.

Cosa aspettarsi

Il nostro obiettivo è:

• Riconosci la tua segnalazione entro 48 ore.
• Fornisci un aggiornamento sullo stato entro cinque giorni lavorativi.
• Risolvi i problemi confermati su una tempistica che corrisponde alla loro gravità.

Bug Bounty

Kotao non gestisce attualmente un programma di bug bounty a pagamento. Prevediamo di pubblicare un credito pubblico di hall‑of‑fame per la prima segnalazione che riconosciamo, con il permesso del segnalatore.

Safe Harbour

La ricerca in buona fede svolta in linea con questa politica non comporterà azioni legali da parte di Kotao. Evita di interrompere il servizio, di accedere a dati che non ti appartengono e di divulgare dettagli pubblicamente prima che abbiamo avuto l’opportunità di risolvere la situazione.

Divulgazione pubblica

Coordiniamo la divulgazione con i giornalisti. Concedici un periodo ragionevole per inviare una correzione prima di pubblicare i dettagli. Il nostro file security.txt fa riferimento a questa politica e al contatto attuale per la divulgazione.