Sicurezza e segnalazione responsabile

Il nostro approccio

Questo è un sito piccolo e semplice che conserva pochissimi dati. È una scelta voluta, perché i dati che non conserviamo non possono essere rubati. Aggiungiamo protezione dove serve e manteniamo semplice il resto.

Come è protetto il sito

• Le connessioni sono cifrate e ai browser viene indicato di usare solo HTTPS
• Una rigorosa content security policy permette di eseguire sulle pagine solo il nostro codice e un breve elenco di servizi nominati
• Le pagine pubbliche sono statiche. Non ci sono database di visitatori, account né login sul sito pubblico
• I moduli di contatto e di candidatura usano un controllo antispam di Cloudflare, un campo trappola nascosto e un controllo del tempo minimo, e i CV caricati sono limitati per tipo e dimensione
• Non ci sono tracciatori pubblicitari
• La pagina in cui modifichiamo il sito è separata. Solo persone indicate possono accedere, tramite GitHub, e ogni modifica è registrata e reversibile
• Il sito è servito tramite Cloudflare, che filtra picchi di traffico e richieste malevole note prima che lo raggiungano

Segnalare una vulnerabilità

Se trovi una vulnerabilità, scrivi all'indirizzo per le collaborazioni nella pagina Contatti. Indicaci la pagina, cosa hai fatto e cosa hai visto, e non divulgare i dettagli finché non l'avremo corretta. Pubblichiamo questo contatto anche nel nostro file security.txt.

Ti chiediamo di fare test solo con i tuoi dati, di non accedere né modificare informazioni altrui, di non eseguire test che rallentino il sito e di non usare tecniche di ingegneria sociale. Confermeremo la ricezione entro cinque giorni lavorativi e ti terremo aggiornato. Non intraprenderemo azioni legali per ricerche condotte in buona fede entro questi limiti.

Messaggi fraudolenti

Non chiediamo mai password, dati di carta o pagamenti urgenti via email, messaggio o tramite questo sito. I nostri onorari seguono un accordo firmato. Se un messaggio a nostro nome chiede denaro o un cambio di coordinate bancarie, verificalo con noi al telefono indicato nella pagina Contatti prima di agire.

File di sicurezza

Il nostro contatto per le segnalazioni di sicurezza è pubblicato anche nella posizione standard, /.well-known/security.txt, così ricercatori e strumenti automatici possono trovarlo.