Segnalare una vulnerabilità di sicurezza in modo sicuro

Usa il modulo del programma di ricompense su dosya.dev/bug-bounty per una vulnerabilità del prodotto. È il canale di invio e contiene i campi necessari alla valutazione. security@dosya.dev riceve domande sul programma; non è la casella per inviare vulnerabilità.

Testa solo con il tuo account, spazi di lavoro, file e dati. Fermati dopo aver raccolto le prove minime per dimostrare il problema. Non accedere a contenuti altrui, modificarli, scaricarli o eliminarli e non eseguire scansioni distruttive o ad alto volume.

Passaggi: invia una segnalazione utile

1. Riproduci il comportamento con un elemento di prova dedicato nel tuo account e fermati appena l’impatto sulla sicurezza è chiaro.
2. Annota URL o componente interessato, ruolo dell’account, piattaforma, versione dell’app, ora, prerequisiti e sequenza esatta per riprodurlo.
3. Rimuovi segreti, cookie di sessione, chiavi API, dati personali e contenuti non pertinenti dall’output della console, dalle tracce delle richieste e dagli screenshot.
4. Apri il modulo del programma di ricompense, inserisci Il tuo nome e Email, poi scegli Severity e Affected asset.
5. Incolla passaggi per riprodurre, impatto e prova sicura. Non allegare file; se serve una prova visiva, inserisci un link a un video o documento sotto il tuo controllo.
6. Invia una volta, conserva una copia e attendi i 14 giorni pubblicati per conferma di ricezione e decisione di valutazione, salvo che il problema sia critico e attivamente sfruttabile.

Cosa includere

Una buona segnalazione indica la superficie vulnerabile e cosa può ottenere un attaccante. Includi comportamento sicuro atteso e risultato effettivo. Se è coinvolta una richiesta, fornisci richiesta e risposta depurate, metodo e stato HTTP e indica quali identificatori appartengono all’account di prova.

Scegli nel modulo la risorsa interessata più pertinente, per esempio Web app (app.dosya.dev), API (api.dosya.dev), App desktop, app mobile, CLI, WebDAV gateway, S3-compatible gateway, SFTP, Admin portal o SDK / public repositories. Scegli Critical, High, Medium o Low in base all’impatto dimostrato, non a una catena ipotetica.

L’obiettivo è confermare la ricezione e decidere la valutazione entro 14 giorni: accettata con gravità, duplicata o fuori ambito con motivazione. Le segnalazioni accettate passano alla discussione su ricompensa e correzione. La politica di divulgazione prevede per impostazione predefinita 90 giorni; concorda i tempi di pubblicazione con il team di sicurezza.

Scegli un altro canale quando necessario

• Segnala contenuti condivisi illegali o dannosi tramite dosya.dev/report-abuse invece di /bug-bounty.
• Invia all’assistenza i problemi di accesso, fatturazione, caricamento o recupero file quando non c’è una vulnerabilità di sicurezza.
• Se noti attività sospette nel tuo account, mettilo in sicurezza e conserva le prove delle sessioni mentre l’assistenza indaga.
• Usa security@dosya.dev per domande su ambito o programma prima di testare un obiettivo incerto.

Risultato previsto

Il team di sicurezza riceve una sola segnalazione depurata e riproducibile tramite il modulo corretto, con prove limitate sufficienti a valutarne l’impatto senza esporre altri utenti o destabilizzare il servizio.

Limiti della ricerca

Evita ingegneria sociale, denial of service, credential stuffing, traffico automatico che compromette la disponibilità e qualsiasi tentativo di conservare dati oltre il test. Elimina i dati di prova dopo la verifica. Se compaiono inaspettatamente informazioni altrui, fermati, non copiarle e spiega il limite nella segnalazione.

Guide correlate

• Preparare una richiesta di assistenza rispettosa della privacy
• Condividere la diagnostica con l’assistenza in sicurezza
• Reagire ad attività sospette nell’account
• Capire la cifratura a riposo e in transito