Politica di divulgazione delle vulnerabilità

Versione: 1.1 · In vigore dal: 28 ottobre 2026

Accogliamo con favore le segnalazioni di ricercatori di sicurezza e di utenti che individuano una vulnerabilità in Mailistix. La presente politica spiega come segnalarne una, che cosa Lei può e non può fare durante la ricerca e che cosa può aspettarsi da noi.

1. Ambito

Rientrano nell’ambito:

• l’applicazione desktop Mailistix per macOS e Windows, nell’ultima versione rilasciata;
• i Servizi Cloud Mailistix gestiti da noi, ossia le funzioni server e le interfacce che l’applicazione richiama;
• mailistix.com e i suoi sottodomini gestiti da noi.

Non rientrano nell’ambito:

• i servizi gestiti da terzi (ad esempio Google, Microsoft, la piattaforma propria di Supabase, Polar, Cloudflare, Sentry, PostHog). Le segnalazioni su tali servizi vanno indirizzate al rispettivo fornitore;
• i risultati che richiedono l’accesso fisico a un dispositivo sbloccato, a un dispositivo sottoposto a jailbreak o a rooting, o a un account del sistema operativo già compromesso;
• i test di negazione del servizio, i test di carico, lo spam, l’ingegneria sociale e gli attacchi fisici;
• le segnalazioni provenienti da scanner automatici senza un impatto dimostrato; l’assenza di intestazioni consigliate dalle buone pratiche senza un exploit concreto; il self-XSS; il clickjacking su pagine prive di azioni sensibili; le osservazioni sui limiti di frequenza senza impatto.

2. Come segnalare

Scriva un’email a legal@mailistix.com con un oggetto che inizia con Security:, in inglese o in tedesco. Il nostro file security.txt indica lo stesso contatto. La preghiamo di includere:

• il componente interessato (applicazione desktop con sistema operativo e versione, oppure l’endpoint);
• l’impatto e i passaggi o una proof of concept per riprodurlo;
• se ritiene che la vulnerabilità venga sfruttata;
• come possiamo contattarLa.

Non includa email, password o token di altre persone. Se la Sua segnalazione richiede materiale sensibile, ce lo comunichi e concorderemo un modo sicuro per condividerlo.

3. Regole per la ricerca

Durante la ricerca Lei deve:

• utilizzare soltanto account e caselle di posta di Sua proprietà o che è espressamente autorizzato a utilizzare;
• non accedere a dati che non sono Suoi, né copiarli, modificarli o eliminarli; se accede a tali dati per errore, si fermi, non li conservi e ce lo comunichi;
• non compromettere il funzionamento del servizio per gli altri (nessuna negazione del servizio, nessuna automazione di massa, nessun attacco di forza bruta contro gli account di altri utenti);
• non utilizzare le Funzioni IA per estrarre dati di altri utenti o per attaccare terzi;
• non sfruttare un risultato oltre quanto necessario per dimostrarlo;
• concederci un tempo ragionevole per risolvere il problema prima di divulgarlo (suggeriamo 90 giorni, o prima previo accordo) e coordinare con noi la pubblicazione.

4. Porto sicuro (safe harbor)

Se Lei agisce in buona fede e rispetta la presente politica, considereremo la Sua ricerca autorizzata, non intraprenderemo azioni civili nei Suoi confronti né presenteremo denuncia o querela alle autorità di polizia per tale ricerca, e non invocheremo nei Suoi confronti, per tale ricerca, le clausole dei nostri Termini o dell’EULA contro l’elusione o il reverse engineering. Se un terzo intraprende un’azione legale nei Suoi confronti per una ricerca conforme alla presente politica, renderemo noto che le Sue azioni erano da noi autorizzate. Questa tutela (safe harbor) non copre le attività che violano la legge e non possiamo autorizzare test su sistemi di terzi.

5. Che cosa può aspettarsi da noi

• Confermiamo la ricezione della Sua segnalazione entro 5 giorni lavorativi.
• La teniamo informata sulla nostra valutazione e sulla correzione.
• La citiamo nelle nostre note di rilascio, se lo desidera.
• Non comunichiamo la Sua identità a terzi senza il Suo consenso, salvo che la legge lo richieda.
• Se la vulnerabilità risiede in un componente di un terzo, possiamo trasmettere i dettagli tecnici a tale terzo affinché possa correggerla.
• Ove la legge lo richieda, in particolare l’art. 14 del Cyber Resilience Act dell’UE (regolamento (UE) 2024/2847), segnaliamo le vulnerabilità attivamente sfruttate alle autorità competenti (il CSIRT coordinatore e l’ENISA).
• Utilizziamo i dati personali contenuti nella Sua segnalazione soltanto per gestire la segnalazione e la correzione, come descritto nella nostra Informativa sulla privacy.
• Al momento non gestiamo un programma di bug bounty a pagamento.

6. Incidenti di sicurezza che riguardano i Suoi dati

Se Lei è un utente di Mailistix e ritiene che il Suo account o i Suoi dati siano stati compromessi, contatti immediatamente legal@mailistix.com. Il modo in cui gestiamo le violazioni dei dati personali è descritto nella nostra Informativa sulla privacy.