Politica di divulgazione delle vulnerabilità

Versione 1.1 · Data di entrata in vigore: 14 ottobre 2026 · Ultimo aggiornamento: 11 ottobre 2026

Traduzione fornita a scopo informativo e di comodità. Solo la versione inglese di questo documento ha valore giuridico; in caso di divergenza, ambiguità o contraddizione, prevale il testo inglese.

Accogliamo con favore le segnalazioni dei ricercatori di sicurezza. Se ritiene di aver individuato una vulnerabilità in LiKE, La preghiamo di comunicarcelo.

Come segnalare

Invii un'e-mail a [email protected], un'e-mail per ciascun problema, in inglese o in russo, indicando:

una descrizione del problema e del suo impatto;
i passaggi per riprodurlo (un breve video o degli screenshot sono utili);
l'URL o l'endpoint interessato;
il Suo nome o pseudonimo, se desidera essere menzionato su questa pagina.

La preghiamo di non includere nella segnalazione dati personali di altre persone.

Esaminiamo tutte le segnalazioni che riceviamo. Possiamo contattarLa se abbiamo bisogno di ulteriori informazioni.

Ciò che ci interessa di più

l'accesso ai dati nello spazio di lavoro o nell'organizzazione di un altro cliente;
l'aggiramento dell'autenticazione o la presa di controllo dell'account di un altro utente;
le falle di autorizzazione nella nostra API;
indurre le nostre funzionalità di IA a rivelare dati di uno spazio di lavoro a cui Lei non ha accesso.

Ambito

Nell'ambito: lynkora.pro e i suoi sottodomini gestiti da Lynkora, inclusi gli spazi di lavoro dei clienti (*.lynkora.pro), e la nostra API.

Fuori ambito: i servizi di terze parti che utilizziamo (ad esempio, i fornitori del checkout di pagamento e dell'invio di e-mail) e qualsiasi sistema non gestito da Lynkora.

Regole

Effettui i test esclusivamente con account e spazi di lavoro di Sua proprietà. Registri un account personale su lynkora.pro per i test.
Per aiutarci a distinguere i Suoi test dall'attività reale, La preghiamo di registrarsi con il tag +security nel Suo indirizzo e-mail, se il Suo provider lo supporta (ad esempio, [email protected] — le e-mail continuano ad arrivare nella Sua consueta casella di posta), e di includere «test» nel nome del Suo spazio di lavoro. La preghiamo di eliminare i Suoi account di test al termine.
Non acceda a dati che appartengono ad altri, né li modifichi o li elimini. Se accede per errore ai dati di un'altra persona, si fermi, non ne conservi una copia e ce lo comunichi.
Non effettui attacchi di forza bruta sulle password, non utilizzi credenziali trapelate e non crei più di qualche account.
Quando testa i limiti di frequenza (rate limit), non invii più di 10 richieste. È sufficiente per dimostrare il problema.
Non esegua test di denial of service o di carico, scansioni automatizzate ad alto volume, social engineering, phishing o attacchi fisici.
Non effettui pagamenti reali o fraudolenti.
Non divulghi pubblicamente il problema prima che abbiamo rilasciato una correzione (periodo di non divulgazione di 90 giorni).

Segnalazioni non accettate

Non accettiamo segnalazioni relative a:

problemi già noti a noi o segnalati in precedenza;
problemi teorici senza un proof of concept;
output di scanner automatizzati senza un impatto dimostrato;
intestazioni di sicurezza o flag dei cookie mancanti senza un attacco funzionante;
clickjacking su pagine prive di azioni sensibili;
configurazione SPF, DKIM o DMARC;
denial of service, test di carico o limiti di frequenza su endpoint non di autenticazione;
social engineering o attacchi fisici;
enumerazione di account o di indirizzi e-mail;
policy delle password (lunghezza o complessità);
divulgazione delle versioni software, banner grabbing o pagine di errore dettagliate prive di dati sensibili;
problemi che richiedono un dispositivo compromesso, una posizione man-in-the-middle o un'interazione improbabile dell'utente;
self-XSS, CSRF sul logout o CSRF su moduli privi di azioni sensibili;
modi per superare i limiti del piano (ad esempio, i limiti di token IA o di postazioni) senza accesso ai dati di altri clienti;
il comportamento dei modelli di IA, come jailbreak, prompt injection o risposte inesatte, a meno che non esponga dati di uno spazio di lavoro a cui Lei non ha accesso.

Ricompense

Non gestiamo un programma di bug bounty retribuito e non paghiamo per le segnalazioni. Con il Suo consenso, possiamo menzionare il Suo nome su questa pagina per scoperte valide e rientranti nell'ambito, una volta risolte.

Buona fede

Consideriamo autorizzata la ricerca svolta in buona fede e in conformità con queste regole.

Ringraziamenti

Ringraziamo i seguenti ricercatori per aver segnalato problemi in modo responsabile:

(nessuno finora)

---

Possiamo aggiornare la presente politica di tanto in tanto.