Politica di segnalazione delle vulnerabilità

Banger Mail accoglie la ricerca di sicurezza condotta in buona fede. Chi ritiene di aver trovato una vulnerabilità in Banger Mail può scrivere a security@team.bangermail.com. La segnalazione deve includere l’host o l’applicazione interessata, i passaggi per riprodurre il problema, l’impatto previsto e qualsiasi log o screenshot utile a comprenderlo. Al momento non pubblichiamo una chiave PGP; evitare di inviare segreti, dati personali o contenuti delle caselle non necessari.

Come inviare una segnalazione

Inviare, ove possibile, una segnalazione per ciascun problema. Fornire dettagli sufficienti per riprodurre il comportamento in sicurezza e indicare se si ritiene che il problema sia sfruttato attivamente. Interrompere i test una volta ottenute prove sufficienti a dimostrare la vulnerabilità.

Ambito

Rientrano nell’ambito:

• app.bangermail.com, l’app web di Banger;
• api.bangermail.com, l’API di Banger, incluso il server MCP su api.bangermail.com/mcp e i suoi endpoint OAuth;
• auth.muchbetterapps.com, il servizio di accesso usato da Banger (che conserva il precedente nome della nostra società);
• cloud.bangermail.com, che gestisce le connessioni alle caselle Google; e
• bangermail.com, il sito pubblico, inclusi i suoi strumenti gratuiti.

Sono particolarmente utili le segnalazioni riguardanti autenticazione, OAuth e autorizzazione degli agenti, chiavi API, permessi degli strumenti MCP, accesso tra Workspace, instradamento della posta, invio dal dominio di un altro cliente, protezione dei dati delle caselle o esposizione di dati sensibili.

Esclusioni

Sono esclusi dall’ambito gli attacchi denial-of-service o i test automatizzati ad alto volume, l’ingegneria sociale, gli attacchi fisici, l’acquisizione di account tramite riutilizzo di password e le vulnerabilità presenti esclusivamente in servizi di terzi non gestiti da BangerMail Inc. Non inviare spam, effettuare phishing o credential stuffing, mantenere accessi persistenti, esfiltrare dati o consultare dati oltre quanto necessario a dimostrare il problema.

Termine di conferma della ricezione

Confermeremo la ricezione delle segnalazioni pertinenti entro 3 giorni lavorativi e potremo richiedere ulteriori dettagli durante l’indagine. Daremo priorità alle segnalazioni in base al probabile impatto sugli utenti, alla possibilità di sfruttamento e al fatto che il problema sembri riguardare i dati delle caselle o l’accesso agli account.

Tutela dei ricercatori

Consideriamo autorizzata la ricerca in buona fede che rispetta questa policy. Se il ricercatore resta nell’ambito previsto, evita danni alla privacy e interruzioni del servizio, segnala tempestivamente gli accessi accidentali e non conserva né condivide dati, non intraprenderemo azioni legali per tale ricerca.

Divulgazione coordinata

Il termine ordinario per la divulgazione coordinata è di 90 giorni dalla conferma della ricezione, salvo diverso accordo reciproco o qualora uno sfruttamento attivo richieda un intervento più rapido. Questo non è un programma di bug bounty remunerato.