Segnala una vulnerabilità della sicurezza

PROGRAMMA DI SEGNALAZIONE DELLE VULNERABILITÀ DI NUVEI

Se ritieni di aver individuato una vulnerabilità di sicurezza nei prodotti o siti web di Nuvei o di una delle sue consociate, continua a leggere per scoprire come inviare una segnalazione ai nostri team di sicurezza affinché possano risolverla.

Sebbene apprezziamo le segnalazioni della community in merito ai problemi di sicurezza, al momento Nuvei non fornisce alcun compenso monetario per le segnalazione di vulnerabilità automatizzate.

Qualsiasi bug o vulnerabilità di sicurezza di cui sia possibile dimostrare la capacità di compromettere la riservatezza, l’integrità o la disponibilità delle informazioni relative ai nostri clienti e ai nostri segreti può essere valutato ai fini di un potenziale compenso.

Qualsiasi vulnerabilità o potenziale vulnerabilità individuata dagli utenti potrebbe non essere divulgata pubblicamente o a terze parti.

REQUISITI DI AMMISSIBILITÀ

• Tutte le vulnerabilità devono essere nuove e non già note a Nuvei.
• L’autore della segnalazione non deve risiedere in uno dei Paesi inclusi negli elenchi delle sanzioni canadesi o statunitensi.

DIVIETO DI TEST

L’esecuzione dei seguenti test è vietata e sarà soggetta a notifica alle forze dell’ordine.

Test automatizzati di qualsiasi tipo, inclusi ma non limitati a:

• Forza bruta
• Scansioni SSL Labs
• Scansioni ASV di terze parti
• Attacchi Denial of Service

Non tentare di effettuare operazioni di post-exploitation, inclusa la modifica o la distruzione dei dati e l’interruzione o la compromissione dei servizi Nuvei.

Non tentare di colpire i dipendenti o i clienti di Nuvei utilizzando metodi di ingegneria sociale, phishing o attacchi fisici.

FUORI PORTATA

Le vulnerabilità di sicurezza non ammissibili includono ma non sono limitate a:

• Ingegneria sociale, phishing
• Attacchi fisici
• Flag di cookie mancanti
• Spoofing dei contenuti
• Tracce dello stack, divulgazione del percorso, elenchi di directory
• Creazione di link esterni
• CSRF con implicazioni minime per la sicurezza
• Applicazione lato client della sicurezza lato server
• E-mail spoofing
• Clickjacking su siti web statici
• Impostazioni di buona pratica
• Attacchi DoS/DDoS
• Configurazione dei record SPF
• Politica inadeguata sulla sicurezza delle password
• Best practice SSL/TLS

‍