unopost

Politica di divulgazione responsabile

Ultimo aggiornamento: 15 ottobre 2026

Questa è una traduzione dell'originale inglese (https://unopost.com.au/responsible-disclosure), fornita per comodità: in caso di differenze prevale la versione inglese.

1. Introduzione

Accogliamo con favore le segnalazioni di chiunque ritenga di aver individuato una vulnerabilità di sicurezza in Unopost. La presente Politica di divulgazione responsabile spiega come segnalarne una, le regole da rispettare durante la ricerca e cosa faremo in cambio. È pubblicata da AWS, CYY & Co. Pty Ltd (ACN 686 116 245) in qualità di Trustee (fiduciario) di Mumu, Lulu & Co. (ABN 54 837 123 965), che gestisce Unopost.

Non gestiamo un programma di bug bounty a pagamento e non corrispondiamo ricompense per le segnalazioni. Con il consenso di chi segnala, una volta risolto il problema lo ringrazieremo per nome su questa pagina.

2. Ambito di applicazione

La presente Politica riguarda:

Non riguarda i servizi gestiti da terzi di cui ci avvaliamo, come Square, Australia Post o Amazon Web Services. I problemi relativi a tali servizi vanno segnalati al rispettivo fornitore.

3. Come segnalare

Scrivere a support@unopost.com.au indicando «Security» nell'oggetto e includendo:

  • Una descrizione del problema e dell'impatto che si ritiene abbia
  • L'URL, l'endpoint o la funzionalità interessati
  • Le istruzioni passo passo per riprodurlo, con eventuale codice proof of concept, screenshot o richieste
  • Come contattare chi segnala e se desidera essere ringraziato per nome

Chi trova una chiave, una password o un altro segreto esposto deve informarci immediatamente e non utilizzarlo. Se possibile, scrivere in inglese.

4. Cosa chiediamo

Nel cercare e segnalare una vulnerabilità, è necessario:

  • Effettuare test solo su account, documenti e Lettere propri o per i quali si dispone dell'autorizzazione del titolare
  • Interrompersi non appena si accede a informazioni personali, documenti o dati altrui e comunicarci a cosa si è avuto accesso. Non copiarli, conservarli, modificarli o eliminarli, né condividerli con nessuno
  • Non degradare né interrompere il Servizio, anche mediante attacchi denial of service, test di carico o scansioni automatizzate ad alto volume
  • Non spedire Lettere a nessuno senza il suo consenso, né inviare messaggi ai nostri clienti, ai loro destinatari o al nostro personale
  • Non ricorrere a social engineering, phishing o attacchi fisici contro il nostro personale, i nostri locali o i nostri fornitori di servizi
  • Non utilizzare la carta di pagamento, il Credito aziendale o le credenziali di un'altra persona
  • Fare solo quanto necessario per dimostrare l'esistenza della vulnerabilità
  • Mantenere riservati i dettagli finché non avremo risolto il problema, o fino a 90 giorni dalla segnalazione se questo termine scade prima, salvo diverso accordo con noi
  • Rispettare la legge

5. Cosa faremo

A fronte di una segnalazione effettuata in conformità alla presente Politica, ci impegniamo a:

  • Confermare la ricezione della segnalazione entro 2 giorni lavorativi
  • Comunicare se siamo in grado di riprodurre il problema e tenere informato chi segnala sui nostri progressi
  • Cercare di correggere una vulnerabilità confermata entro 90 giorni, e prima se mette a rischio informazioni personali
  • Comunicare quando il problema è stato risolto e ringraziare per nome chi segnala, se lo ha richiesto

Se il problema ha riguardato informazioni personali, lo valuteremo e ne daremo notifica alle persone interessate e all'Office of the Australian Information Commissioner come descritto nella Sezione 11 della nostra Informativa sulla privacy (https://unopost.com.au/privacy).

6. Tutela legale (safe harbour)

Se chi segnala agisce in buona fede e in conformità alla presente Politica, considereremo la sua ricerca autorizzata, non intraprenderemo azioni legali nei suoi confronti in relazione ad essa e non lo denunceremo alle autorità. Se un terzo intraprende azioni legali nei suoi confronti per una ricerca conforme alla presente Politica, renderemo noto che la ricerca era stata da noi autorizzata.

Ciò non si applica in caso di violazione della presente Politica, di accesso a più di quanto necessario o di richiesta di un pagamento in cambio della mancata divulgazione di un problema. In caso di dubbi sul fatto che un'azione che si intende compiere sia consentita, chiedere prima a support@unopost.com.au.

7. Cosa non consideriamo una vulnerabilità

Quanto segue è generalmente escluso dalla presente Politica, salvo che si possa dimostrare un impatto reale sulla sicurezza del Servizio o dei nostri utenti:

  • Segnalazioni di scanner automatizzati prive di un proof of concept funzionante
  • La sola mancanza di header di sicurezza, flag dei cookie o record di autenticazione email (SPF, DKIM, DMARC)
  • Clickjacking su pagine prive di azioni potenzialmente dannose
  • Self-XSS, o problemi che richiedono l'accesso fisico al dispositivo sbloccato di un utente
  • La divulgazione della versione del software, o l'assenza di limiti di frequenza su azioni prive di conseguenze per la sicurezza
  • Denial of service e vulnerabilità dei servizi di terzi indicati nella Sezione 2

8. Modifiche alla presente Politica

Possiamo modificare la presente Politica in qualsiasi momento pubblicandone una nuova versione su questa pagina. A ciascuna segnalazione si applica la versione pubblicata al momento in cui viene effettuata.