Sicurezza e segnalazione di vulnerabilità

Nel perimetro

• Il sito pubblico e la dashboard di Legal (account, abbonamenti, portafoglio, messaggi).
• L’API di Legal: controllo degli accessi, accesso a contenuti a pagamento, fuga di dati di altri account.
• La verifica dell’età, l’autenticazione (2FA, passkey) e la protezione dei media.

Fuori perimetro

• I servizi di terzi (hosting, fornitore di pagamenti, fornitore della verifica dell’età): segnalali direttamente ai rispettivi gestori.
• Il denial of service, lo spam, l’ingegneria sociale e gli attacchi fisici.
• I risultati di scanner automatici senza dimostrazione di un impatto reale e le buone pratiche mancanti senza conseguenze dimostrate.

• Usa solo i tuoi account di prova. Non accedere ai dati di altre persone, non modificarli e non copiarli oltre quanto serve a provare la vulnerabilità.
• Se ti imbatti in dati personali o in un contenuto sensibile, fermati, non conservarlo e segnalacelo subito.
• Niente denial of service, test di carico, ingegneria sociale né attacchi rivolti al nostro team, alle nostre creatrici o ai nostri membri.
• Mantieni il riserbo fino alla correzione: nessuna pubblicazione prima che la vulnerabilità sia stata corretta o che sia stata concordata una data con te.
• Una segnalazione per vulnerabilità, con i passaggi per riprodurla. I duplicati vengono ringraziati ma non premiati.

Se rispetti queste regole e agisci in buona fede, non ti perseguiremo e non ti segnaleremo alle autorità per queste ricerche. Se lo desideri, faremo in modo che il tuo lavoro venga riconosciuto.

La gravità è valutata con una versione semplificata del punteggio CVSS 3.1. Gli importi qui sotto sono indicativi: il team stabilisce il premio in base all’impatto reale e lo versa direttamente, fuori dalla piattaforma. Nulla viene versato in automatico.

• Ricevi un numero di tracciamento e un codice segreto: servono per seguire lo stato e allegare file.
• Una persona del team analizza la tua segnalazione, valuta la gravità e ti risponde nella pagina di tracciamento.
• Una volta corretta la vulnerabilità, te lo comunichiamo e, se acconsenti, inseriamo il tuo nome nei ringraziamenti.

Puoi anche scrivere a security@legalsexe.com. Il file security.txt di questo sito (RFC 9116) riporta le stesse informazioni per gli strumenti automatici.