La sicurezza in Shipcue
Come segnalare una vulnerabilità e cosa puoi aspettarti da noi.
Bozza. Questa policy potrebbe cambiare prima del rilascio di Shipcue. Ultimo aggiornamento: .
Come segnalare una vulnerabilità
Scrivi a security@shipcue.app e includi:
- cosa hai trovato e dove (versione dell'app, endpoint o schermata),
- i passaggi per riprodurlo,
- l'impatto che ti aspetti.
Non inviare mai chiavi API (file .p8), token o altri segreti, nemmeno i tuoi. Rimuovili da screenshot e log.
Cosa promettiamo
- Rispondiamo entro 5 giorni lavorativi.
- Ti teniamo aggiornato mentre risolviamo il problema e ti avvisiamo quando è risolto.
- Se vuoi, ti citiamo quando annunciamo la correzione.
- Non intraprenderemo azioni legali contro ricerche in buona fede che rispettano questa policy.
Ti chiediamo di
- Fare test solo con i tuoi account, le tue chiavi e le tue app.
- Non accedere ai dati di altre persone e non modificarli né eliminarli. Se ci arrivi per caso, fermati e avvisaci.
- Non eseguire test di denial of service, spam o social engineering contro di noi o i nostri utenti.
- Darci un tempo ragionevole per risolvere il problema prima di renderlo pubblico (suggeriamo 90 giorni).
Cosa rientra nell'ambito
- L'app Shipcue per iPhone e iPad
- I nostri endpoint server sotto shipcue.app
I servizi di Apple (App Store Connect, APNs) e RevenueCat sono fuori ambito; segnala i problemi di quei servizi alle rispettive aziende.
Phishing
Shipcue non chiede mai una chiave API, una password o un accesso in una notifica, e le nostre notifiche non contengono mai link esterni. Se ne ricevi una che lo fa, inoltrala a security@shipcue.app.