Policy di divulgazione responsabile

[English translation below]

PeaceLink è un'associazione di volontariato che gestisce servizi digitali — sito web, mailing list, archivi storici e piattaforme collaborative — al servizio della società civile. La sicurezza di questi sistemi è per noi una responsabilità concreta verso chi li usa.

Se hai scoperto una vulnerabilità di sicurezza nei nostri sistemi, ti invitiamo a segnalarcela in modo responsabile seguendo le indicazioni di questa pagina.

Come segnalare una vulnerabilità

Invia una descrizione dettagliata della vulnerabilità all'indirizzo: security@peacelink.it

Per comunicazioni riservate è possibile usare la nostra chiave pubblica

La segnalazione dovrebbe includere, ove possibile:

• Una descrizione della vulnerabilità e del suo potenziale impatto
• I passaggi necessari a riprodurre il problema (proof of concept)
• I sistemi o URL interessati
• Eventuali screenshot o log pertinenti

Cosa puoi aspettarti da noi

• Conferma di ricezione entro 5 giorni lavorativi
• Valutazione iniziale entro 15 giorni lavorativi
• Aggiornamenti sul progresso se la risoluzione richiede più tempo
• Notifica di avvenuta correzione prima della divulgazione pubblica
• Riconoscimento pubblico, se lo desideri, dopo la risoluzione

Non offriamo compensi economici (bug bounty), ma siamo grati a chi contribuisce alla sicurezza dei nostri sistemi e siamo lieti di riconoscerne il contributo pubblicamente.

Clausola di buona fede (Safe Harbor)

PeaceLink si impegna a non intraprendere azioni legali nei confronti di chi segnala vulnerabilità in buona fede, a condizione che:

• La ricerca sia svolta senza accedere, modificare o cancellare dati altrui
• Non vengano condotte azioni disruptive (DoS, spam, defacement)
• La vulnerabilità non venga divulgata pubblicamente prima che sia stata risolta o che siano trascorsi 90 giorni dalla segnalazione
• Non vengano sfruttate le vulnerabilità scoperte per scopi diversi dalla segnalazione

Sistemi in ambito (scope)

• peacelink.it e tutti i sottodomini
• Mailing list gestite da PeaceLink
• Piattaforme collaborative ospitate dall'associazione

Sono esclusi dall'ambito i servizi di terze parti utilizzati da PeaceLink (provider di hosting, servizi email esterni, ecc.).

Fuori ambito

Non costituiscono vulnerabilità oggetto di questa politica:

• Attacchi di ingegneria sociale o phishing
• Risultati di scanner automatici non verificati manualmente
• Problemi relativi a software di terze parti non direttamente controllati da noi
• Assenza di best practice non sfruttabili (es. header HTTP mancanti senza impatto concreto)

Divulgazione coordinata

Chiediamo di non divulgare pubblicamente i dettagli della vulnerabilità prima che il problema sia stato risolto, o comunque non prima di 90 giorni dalla segnalazione. Collaboreremo con te per concordare tempi e modalità di eventuale divulgazione pubblica.

security.txt

Questa policy è referenziata nel file /.well-known/security.txt del nostro sito, in conformità con RFC 9116.

Responsible Disclosure Policy

PeaceLink is a volunteer association that manages digital services — website, mailing list, historical archives, and collaborative platforms — in the service of civil society. The security of these systems is, for us, a concrete responsibility toward those who use them.

If you have discovered a security vulnerability in our systems, we invite you to report it responsibly by following the guidelines on this page.

How to report a vulnerability

Send a detailed description of the vulnerability to: security@peacelink.it

For confidential communications, you can use our public key

The report should include, where possible:

• A description of the vulnerability and its potential impact
• The steps necessary to reproduce the issue (proof of concept)
• The systems or URLs affected
• Any relevant screenshots or logs

What you can expect from us

• Acknowledgment of receipt within 5 business days
• Initial assessment within 15 business days
• Progress updates if resolution takes longer
• Notification once the fix has been implemented, prior to public disclosure
• Public acknowledgment, if you wish, after resolution

We do not offer financial compensation (bug bounty), but we are grateful to those who contribute to the security of our systems and are happy to publicly acknowledge their contribution.

Good Faith Clause (Safe Harbor)

PeaceLink commits not to pursue legal action against those who report vulnerabilities in good faith, provided that:

• The research is conducted without accessing, modifying, or deleting others' data
• No disruptive actions are carried out (DoS, spam, defacement)
• The vulnerability is not publicly disclosed before it has been resolved or before 90 days have passed since the report
• Discovered vulnerabilities are not exploited for purposes other than reporting

Systems in scope

• peacelink.it and all subdomains
• Mailing lists managed by PeaceLink
• Collaborative platforms hosted by the association

Third-party services used by PeaceLink (hosting providers, external email services, etc.) are excluded from scope.

Out of scope

The following do not constitute vulnerabilities covered by this policy:

• Social engineering or phishing attacks
• Results from automated scanners that have not been manually verified
• Issues related to third-party software not directly controlled by us
• Absence of best practices that are not exploitable (e.g., missing HTTP headers with no concrete impact)

Coordinated disclosure

We ask that you not publicly disclose the details of the vulnerability before the issue has been resolved, or in any case not before 90 days from the report. We will work with you to agree on the timing and manner of any public disclosure.

security.txt

This policy is referenced in the /.well-known/security.txt file on our site, in accordance with RFC 9116.