Il nostro impegno
Proteggere i fondi e i dati dei nostri clienti è al centro di ciò che facciamo. Accogliamo con favore le segnalazioni di ricercatori di sicurezza e clienti che trovano una vulnerabilità nei nostri sistemi, e lavoreremo con te per capirla e correggerla. Questa policy spiega cosa puoi testare, come testare in sicurezza e come segnalare ciò che trovi.
Nell’ambito
- I siti pubblici sotto
*.localpayment.com, incluso localpayment.com. - L’API di Localpayment: Produzione (api.v3.localpayment.com) e Stage (api.stage.localpayment.com).
- Il Business Portal (ui.v3.localpayment.com).
Testa solo con account e credenziali che sei autorizzato a usare. Se sei cliente di Localpayment, testa nel tuo ambiente Stage invece che in Produzione. Alcuni sottodomini *.localpayment.com sono gestiti da fornitori terzi; se una segnalazione riguarda uno di questi, ci coordineremo con il fornitore.
Fuori ambito
- Attacchi denial-of-service, test di carico o di stress e qualsiasi test che peggiori il servizio per altri.
- Social engineering, phishing o tentativi fisici contro i nostri dipendenti, uffici, clienti o partner.
- Servizi gestiti da terzi, come banche, circuiti di carte, circuiti di pagamento locali o il nostro canale etico indipendente. Segnala questi problemi al fornitore.
- Risultati senza un impatto di sicurezza dimostrabile, come la sola mancanza di header di sicurezza o flag dei cookie, banner di versione, clickjacking su pagine senza azioni sensibili, self-XSS, CSRF sul logout o output non validati di scanner automatici.
- Segnalazioni sulla configurazione email (SPF, DKIM, DMARC) senza un exploit funzionante.
Regole di ingaggio
- Niente denial of service. Non eseguire test che potrebbero interrompere o degradare i nostri servizi e mantieni bassa la frequenza delle scansioni automatiche.
- Niente social engineering. Non prendere di mira persone (dipendenti, clienti o partner) tramite phishing, pretexting o qualsiasi altro mezzo.
- Niente esfiltrazione di dati. Accedi solo ai dati minimi necessari per dimostrare il problema. Non scaricare, copiare, conservare, modificare o cancellare dati. Se trovi dati personali, dati dei titolari di carta o credenziali, fermati e segnalalo subito.
- Fermati alla prova. Una volta confermata una vulnerabilità, fermati. Non elevare i privilegi, non muoverti lateralmente, non creare persistenza e non concatenare altri attacchi senza il nostro accordo scritto.
- Niente transazioni reali. Non spostare mai fondi, non creare pagamenti o payout reali e non interagire con account che non sono tuoi.
- Mantieni la riservatezza. Non condividere dettagli del problema con nessuno finché non l’abbiamo risolto e non abbiamo concordato con te la divulgazione.
- Agisci in buona fede e nel rispetto della legge. Non subordinare la tua segnalazione a un pagamento o a qualsiasi altra richiesta.
Come segnalare
Scrivi a cybersecurity@localpayment.com con l’oggetto “Vulnerability report” e un titolo breve. Leggiamo le segnalazioni in inglese, spagnolo e portoghese. Includi:
- L’asset interessato: URL, endpoint API, parametro o schermata del Business Portal.
- Il tipo di vulnerabilità e il suo impatto potenziale.
- Le istruzioni passo passo per riprodurla.
- Un proof of concept (richieste e risposte, screenshot o un breve video) con eventuali dati personali o sensibili oscurati.
- Data e ora dei tuoi test e gli indirizzi IP usati, così possiamo riconoscere la tua attività nei nostri log.
- Il tuo nome o nickname, come contattarti e se desideri essere citato.
Non includere mai numeri di carta reali, password o dati personali di altre persone nella segnalazione. Descrivili invece.
Cosa aspettarti
- Conferma di ricezione. Confermiamo tempestivamente la ricezione della tua segnalazione.
- Valutazione. Il nostro team di sicurezza convalida il problema, ne valuta la gravità e può chiederti ulteriori dettagli.
- Aggiornamenti. Ti teniamo informato sui progressi e ti avvisiamo quando il problema è risolto.
- Correzione. Diamo priorità alle correzioni in base al rischio che rappresentano per i nostri clienti e i loro dati.
- Divulgazione coordinata. Se intendi pubblicare i risultati, concordiamo con te le tempistiche una volta applicata la correzione. Con il tuo permesso, saremo lieti di riconoscere il tuo contributo.
Safe harbor
Localpayment non intraprenderà azioni legali contro i ricercatori che scoprono e segnalano vulnerabilità in buona fede e in conformità con questa policy.
Contatto leggibile dalle macchine (security.txt)
I nostri contatti di sicurezza sono pubblicati anche in formato leggibile dalle macchine, secondo la RFC 9116, all’indirizzo https://localpayment.com/.well-known/security.txt.
Altre richieste
- Sospetta frode, o un problema con il tuo account o una transazione: support@localpayment.com, disponibile 24/7.
- Questioni etiche o comportamenti scorretti: il nostro canale etico indipendente.