Sicurezza e divulgazione delle vulnerabilità
Ultimo aggiornamento: agosto 2026
Ultimo aggiornamento: agosto 2026
Le librerie di componenti eSeGeCe sono integrate in applicazioni che girano in produzione, spesso esposte a internet. Prendiamo sul serio le segnalazioni di difetti di sicurezza e preferiamo venire a conoscenza di un problema presto, piuttosto che leggerne altrove più tardi. Questa pagina descrive come contattarci, cosa succede dopo la vostra segnalazione e a cosa ci impegniamo in cambio.
Usate il nostro modulo di contatto indicando "sicurezza" nell'oggetto. Raggiunge direttamente gli sviluppatori, non una coda di ticket di primo livello, ed è il nostro punto di contatto unico per le questioni di sicurezza. Non serve un contratto di assistenza né una licenza valida per segnalare una vulnerabilità.
Includete quanto più possibile di quanto segue:
Se desiderate cifrare la segnalazione, ditelo in un primo messaggio privo di dettagli tecnici e concorderemo un canale con voi.
Vi chiediamo di concederci un margine ragionevole per rilasciare una correzione prima di pubblicare, e il termine con cui lavoriamo è di 90 giorni dalla data della vostra segnalazione. Se un difetto è oggetto di sfruttamento attivo, o se una correzione richiede più tempo del previsto, ne parleremo con voi anziché lasciare che il termine scada in silenzio. Non intraprenderemo azioni legali contro chi segnala una vulnerabilità in buona fede e rispetta questa politica.
Rientrano nell'ambito le librerie di componenti eSeGeCe in tutte le edizioni supportate, tra cui sgcWebSockets, sgcSign, sgcOpenAPI, sgcIndy e sgcBiometrics, insieme al codice di esempio e alle demo che distribuiamo, e questo sito web.
Sono fuori ambito i rilievi che riguardano soltanto software di terze parti che non distribuiamo, le segnalazioni prodotte da uno scanner automatico senza impatto dimostrato e tutto ciò che richiede di attaccare la nostra infrastruttura o un altro cliente. Vi preghiamo di non eseguire test di negazione del servizio, di non attaccare i nostri server con forza bruta e di non accedere a dati che non vi appartengono.
Se il vostro rilievo riguarda un componente di terze parti su cui ci basiamo, come Indy, zlib o OpenSSL, segnalatecelo comunque. Inoltreremo la segnalazione a chi lo mantiene, come ci impone l'articolo 13(6) del Regolamento sulla ciberresilienza dell'UE, e seguiremo la correzione fino alle nostre release.
Le correzioni di sicurezza vengono distribuite nell'ambito delle normali release del prodotto, pubblicate più volte l'anno con il codice sorgente completo. Una licenza include gli aggiornamenti per il periodo di abbonamento, e le correzioni di sicurezza di una versione maggiore restano disponibili per almeno cinque anni dalla sua pubblicazione. Poiché ogni licenza include il codice sorgente completo, non dipendete mai da noi per ispezionare, correggere o ricompilare il codice che distribuite.
Manteniamo per ogni release un SBOM leggibile dalle macchine in formato CycloneDX, che elenca i componenti di primo livello su cui sono costruiti i nostri prodotti e le relative licenze. Il Regolamento sulla ciberresilienza impone ai fabbricanti di redigerlo e di conservarlo nella documentazione tecnica, non impone di pubblicarlo, perciò lo forniamo su richiesta anziché pubblicarlo qui. I licenziatari e le autorità di vigilanza del mercato possono richiederlo tramite il nostro modulo di contatto, indicando prodotto, edizione e versione di interesse.
Se ci state valutando come fornitori ai sensi del Regolamento sulla ciberresilienza dell'UE, Regolamento (UE) 2024/2847, la nostra dichiarazione su cosa comporta il CRA per i prodotti costruiti con i componenti eSeGeCe si trova in una pagina separata.
Tutto ciò che riguarda questa pagina, comprese le segnalazioni di vulnerabilità, ci raggiunge tramite il nostro modulo di contatto.