# Claspet — dove segnalare un difetto di sicurezza.
#
# Questo file segue RFC 9116. La politica per esteso, in italiano, sta
# all'indirizzo indicato dal campo Policy: dice cosa mandare, cosa succede
# dopo, in quanto tempo rispondiamo, e — soprattutto — cosa non promettiamo.
#
# A CHI PUBBLICA QUESTO FILE (9 ottobre 2026): il recapito è quello scelto
# dal titolare, claspet@interfibra.it. Si pubblica SOLO dopo che la sessione
# principale ha verificato che la casella riceve davvero (un messaggio di
# prova arrivato e letto, non il solo «250» del server di posta), insieme a
# sito/sicurezza.html, e solo allora si toglie il `return 404` dal vhost:
# vedi sito/README.md. RFC 9116 sezione 5.3: un security.txt con un recapito
# che non riceve è peggio di nessun security.txt.

# L'unico canale: la casella unica di Claspet, gestita da Interfibra S.r.l.
# Non c'è un modulo web.
Contact: mailto:claspet@interfibra.it

# Non c'è un campo Encryption perché non abbiamo ancora pubblicato una chiave
# OpenPGP. Il campo esiste in RFC 9116 (sezione 2.5.4) e ci farebbe fare una
# figura migliore, ma dovrebbe puntare a una chiave che si può scaricare, e
# quella chiave oggi non c'è. Quindi: le segnalazioni arrivano in chiaro nella
# posta. Se il difetto è grave, la politica spiega come mandare prima due
# righe senza dettagli e concordare un canale.

# Cosa succede dopo che hai scritto, e cosa non promettiamo (niente premi in
# denaro).
Policy: https://claspet.com/sicurezza

# Non è un ordine di preferenza: RFC 9116 dice che i valori elencati hanno la
# stessa priorità. Scrivi in quella che ti viene meglio.
Preferred-Languages: it, en

# RFC 9116 sezione 3.1: un security.txt vale solo per il dominio da cui è
# stato scaricato, e NON per i suoi sottodomini. Quindi questo file copre
# claspet.com e basta. Il server di messaggistica, api.claspet.com, è un altro
# dominio e ha bisogno di un file suo — vedi sito/README.md.
Canonical: https://claspet.com/.well-known/security.txt

# Un anno dalla scrittura (9 ottobre 2026). Dopo questo momento le informazioni qui dentro non vanno più considerate
# valide. La data va spostata in avanti *prima* che scada, non dopo: un file
# scaduto è un file di cui chi lo legge non si deve fidare, ed è di nuovo il
# caso della sezione 5.3.
Expires: 2027-10-09T00:00:00Z