Salta al contenuto principale

Politica di sicurezza

Contatto: https://github.com/Cap-go/capgo.app/security/advisories/new
Canonica: https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

In Capgo, consideriamo la sicurezza dei nostri sistemi una priorità assoluta. Tuttavia, per quanto impegno dedichiamo alla sicurezza, potrebbero comunque esistere vulnerabilità.

Se scopri una vulnerabilità, vorremmo che ce la segnalassi così da poter intervenire il più rapidamente possibile. Ti chiediamo di aiutarci a proteggere meglio i nostri clienti e i nostri sistemi.

Vulnerabilità escluse dall'ambito:

  • Clickjacking su pagine senza azioni sensibili.
  • CSRF non autenticato/logout/login.
  • Attacchi che richiedono MITM o accesso fisico al dispositivo dell'utente.
  • Attacchi che richiedono ingegneria sociale.
  • Qualsiasi attività che possa portare all'interruzione del nostro servizio (DoS).
  • Problemi di content spoofing e text injection senza mostrare un vettore di attacco o senza poter modificare HTML/CSS.
  • Email spoofing
  • Mancanza di header DNSSEC, CAA o CSP
  • Assenza di flag Secure o HTTP only su cookie non sensibili
  • Link interrotti
  • Enumerazione degli utenti
  • Report di SSRF o DNS spoofing contro webhook o anteprime del sito. Queste funzionalità girano su infrastruttura serverless e non possono essere usate per raggiungere l'infrastruttura privata Capgo, pertanto non sono sfruttabili nel nostro ambiente.
  • L'applicazione code o la configurazione del progetto di proprietà dell'utente che Capgo non possiede, distribuisce o controlla, inclusi file come capacitor.config.ts, config.capacitor.ts, il codice sorgente code e le impostazioni specifiche per l'ambiente.
  • Accesso ai file del bundle Capgo o prova che i file del bundle siano scaricabili. I file del bundle sono asset web pubblici, gli utenti ne sono informati e l'accesso non è considerato una violazione dei dati.
  • Gli endpoint plugin/API di Capgo non autenticati che sono intenzionalmente pubblici per design — inclusi channel_self set e gli endpoint update/stats che non richiedono una chiave API — non sono vulnerabilità. Non segnalarli come tali.
  • Un errore dell'uploader o della UI nell'etichettare la crittografia per i bundle serviti tramite external_url non è una vulnerabilità Capgo (la crittografia dei bundle ospitati esternamente è fuori dal controllo di Capgo).

Limitazioni note di Supabase Auth

Alcuni problemi vengono segnalati ripetutamente e sono legati al comportamento di Supabase Auth. Li trattiamo come problemi lato Supabase solo se sono riproducibili in un progetto demo Supabase configurato come il nostro e se una modifica alla configurazione di Supabase risolve il problema senza alterare le regole di sicurezza di Capgo. Se la soluzione richiede modifiche a SQL, RPC, policy RLS, funzioni o logica dell'app di proprietà di Capgo, si tratta di un problema Capgo e va segnalato a noi.

  • Le segnalazioni devono includere un progetto demo Supabase riproducibile, con i relativi passaggi, che rispecchi le nostre impostazioni e dimostri il comportamento.
  • Le segnalazioni devono includere il percorso esatto della soluzione: la modifica alle impostazioni/configurazione di Supabase che risolve il problema, oppure l'oggetto code/config di proprietà di Capgo che deve essere modificato.
  • I flussi di account/email sono validati in base alle impostazioni del progetto Supabase (ad esempio, se la verifica email è disabilitata e viene utilizzato il flusso di capture).
  • I flussi di aggiornamento password ed email/password possono dipendere dalla sessione Supabase Auth corrente e dalle impostazioni di re-verifica.
  • Se un progetto demo dimostra una soluzione concreta lato Supabase senza modifiche alle policy di Capgo, o mostra un difetto concreto di proprietà di Capgo, la trattiamo come una segnalazione su cui intervenire.

Linee guida per i test:

  • Non eseguire scanner automatizzati sui progetti di altri clienti. Gli scanner automatizzati possono far aumentare i costi per i nostri utenti. Scanner configurati in modo aggressivo potrebbero inavvertitamente interrompere i servizi, sfruttare vulnerabilità, causare instabilità o breach del sistema e violare i Termini di Servizio dei nostri provider upstream. I nostri sistemi di sicurezza non riusciranno a distinguere una ricognizione ostile da una ricerca whitehat. Se vuoi eseguire uno scanner automatizzato, avvisaci a security@capgo.app e avvialo solo sul tuo progetto Capgo. NON attaccare i progetti di altri clienti.
  • Non approfittare della vulnerabilità o del problema scoperto; ad esempio, non scaricare più dati del necessario per dimostrare la vulnerabilità, né eliminare o modificare i dati di terzi.

Linee guida per la segnalazione:

  • Invia le tue scoperte tramite il nostro GitHub Security Advisory:: https://github.com/Cap-go/capgo.app/security/advisories/new
  • Fornisci informazioni sufficienti per riprodurre il problema, così da permetterci di risolverlo il più rapidamente possibile.
  • Accettiamo ed esaminiamo segnalazioni di sicurezza per i plugin Capgo, ma i bounty per i plugin code sono limitati a @capgo/capacitor-updater.. Gli altri plugin Capgo sono gratuiti e non fanno parte della nostra offerta a pagamento, quindi le segnalazioni vengono esaminate ma non retribuite.

Linee guida per la divulgazione:

  • Per proteggere i nostri clienti, non rivelare il problema ad altri finché non avremo analizzato e risolto il problema e informato i clienti coinvolti.
  • Se vuoi condividere pubblicamente le tue ricerche su Capgo a una conferenza, in un blog o in qualsiasi altro forum pubblico, inviaci una bozza per revisione e approvazione almeno 30 giorni prima della data di pubblicazione. Tieni presente che non devono essere inclusi i seguenti elementi:
    • Dati relativi ai progetti dei clienti Capgo
    • Dati dei clienti Capgo
    • Informazioni su dipendenti, collaboratori o partner di Capgo

La nostra promessa:

  • Risponderemo alla tua segnalazione entro 7 giorni lavorativi con la nostra valutazione e una data prevista per la risoluzione.
  • Se hai seguito le istruzioni qui sopra, non intraprenderemo alcuna azione legale nei tuoi confronti in merito alla segnalazione.
  • Tratteremo la tua segnalazione con la massima riservatezza e non comunicheremo i tuoi dati personali a terzi senza il tuo permesso.
  • Ti terremo informato sui progressi verso la risoluzione del problema.
  • Nelle informazioni pubbliche relative al problema segnalato, indicheremo il tuo nome come scopritore (a meno che tu non preferisca diversamente).
  • Se nei log condivisi con noi compaiono dati trapelati, li trattiamo come informazioni di debug utili a risolvere il problema, mai come motivo di ritorsione o rappresaglia.

Ci impegniamo a risolvere tutti i problemi il prima possibile e vorremmo partecipare attivamente alla pubblicazione finale sul problema, una volta risolto.