Segnalare un difetto
di sicurezza

Scrivi a claspet@interfibra.it. Ti risponde una persona.

Ultimo aggiornamento: 9 ottobre 2026

Dove scrivere

A claspet@interfibra.it, la casella unica di Claspet, gestita da Interfibra S.r.l. Per una segnalazione di sicurezza scrivi «sicurezza» nell'oggetto: la leggiamo per prima. Le stesse informazioni, nella forma che leggono le macchine, stanno in security.txt.

Cosa mandare

Non serve un rapporto formale. Serve che riusciamo a rifare quello che hai fatto tu. In pratica:

• Cosa hai fatto, passo per passo, anche banale.
• Cosa ti aspettavi che succedesse, e cosa è successo invece.
• Dove: l'app su iPhone, su Mac o su Android, il sito, o il server api.claspet.com. E quale versione stavi usando, se riesci a leggerla.
• Perché secondo te è un problema: chi ci rimette, e quanto.
• Se hai un pezzo di codice che lo dimostra, allegalo. Vale più di qualunque descrizione.

Va bene in italiano o in inglese. Se sei incerto se sia davvero un difetto, mandalo lo stesso: decidere è un lavoro nostro, non tuo.

Prima di mandare i dettagli, se la cosa è grave

Non abbiamo ancora pubblicato una chiave OpenPGP: una segnalazione via posta resta leggibile nella casella che la riceve e nei server di posta che attraversa. Se quello che hai trovato è serio, scrivici prima due righe senza i dettagli — «ho qualcosa su X, come ve lo mando?» — e ci mettiamo d'accordo su un canale. Se preferisci mandare una tua chiave pubblica nel primo messaggio, va benissimo.

Tempi

• Entro 5 giorni lavorativi: ti risponde una persona e ti dice che la segnalazione è arrivata. Non è una risposta automatica.
• Entro 15 giorni lavorativi: ti diciamo se l'abbiamo riprodotta e se la consideriamo un difetto, oppure cosa non ci torna.
• Entro 30 giorni dalla conferma: ti diciamo cosa intendiamo fare e quando, con una data.
• Quando è chiuso: ti diciamo che è chiuso e in quale versione, così puoi controllare invece di crederci.

Va detto con onestà: dietro Claspet non c'è un reparto di sicurezza, ci sono poche persone. Questi tempi sono quelli che intendiamo tenere, non una garanzia contrattuale. Se sfondiamo una di queste scadenze senza dire niente, scrivici di nuovo e insisti: quasi sempre vuol dire che il messaggio si è perso, non che abbiamo deciso di ignorarti.

Quando lo puoi rendere pubblico

Ti chiediamo di aspettare 90 giorni dalla segnalazione, o meno se nel frattempo abbiamo corretto e siamo d'accordo così. È un intervallo, non un vincolo che ti imponiamo: se hai una ragione per volerne di più o di meno, si discute.

Passati i 90 giorni, pubblica. Anche se non ti abbiamo risposto — anzi, soprattutto in quel caso. Un difetto tenuto nascosto per sempre per rispetto di chi non risponde non protegge nessuno, e non vogliamo che questa pagina diventi il modo per far tacere qualcuno.

Se vuoi, ti citiamo con il nome che ci indichi quando raccontiamo la correzione. Se preferisci restare anonimo, resti anonimo. Te lo chiediamo prima di scrivere qualunque cosa.

Cosa non promettiamo

• Non c'è nessun premio in denaro. Non c'è un bug bounty, non ci sono buoni, non c'è gadget. Se stai cercando un programma che paga, questo non lo è — ed è giusto che tu lo sappia prima di spenderci sopra il tuo tempo, non dopo.
• Non promettiamo un CVE. Possiamo chiederlo, e lo facciamo volentieri se ha senso, ma non dipende da noi.
• Non c'è una classifica di chi ha segnalato. Non abbiamo una pagina del genere. Se un giorno ci sarà, lo diremo qui.
• Non promettiamo di correggere tutto. Alcune cose sono scelte di progetto e non difetti, e altre le sappiamo già. Se decidiamo di non correggere, te lo diciamo e ti diciamo perché; e resti libero di pubblicare lo stesso.
• Non abbiamo pubblicato nessun audit indipendente. Questa pagina descrive la procedura prevista per le segnalazioni e non attesta la sicurezza del programma.

Cosa puoi provare

Le app Claspet per iPhone, Mac e Android, questo sito, il server api.claspet.com, i custodi del recupero (custode1, custode2 e custode3.claspet.com), e le scelte di protocollo e di crittografia su cui il programma è costruito. Se hai un dubbio sul disegno e non su un bug preciso, quello ci interessa uguale.

Cosa ti chiediamo di non fare

• Niente scansioni automatiche, stress test o traffico a raffica contro api.claspet.com o claspet.com. Questa è la richiesta a cui teniamo di più, e non è pudore: la macchina che ospita il nostro server ospita anche altri quattordici siti che non c'entrano niente con Claspet e con questa pagina. Un carico che mette in ginocchio noi mette in ginocchio loro, e loro non hanno acconsentito a niente. Se ti serve un bersaglio su cui pestare davvero, chiedicelo e ne parliamo.
• Usa i tuoi account e i tuoi dispositivi. Non toccare messaggi, caselle o dispositivi che non sono tuoi. Se per caso ti trovi davanti a dati di qualcun altro, fermati subito, non copiarli e non salvarli, e scrivicelo: quello è già di per sé la segnalazione.
• Niente ingegneria sociale, niente phishing verso le persone che ci lavorano o verso chi usa Claspet, e niente accesso fisico.
• Niente cancellazioni e niente modifiche di dati che non siano tuoi, e nessuna esfiltrazione: dimostra che si può, non farlo per davvero.

Se rispetti queste regole

Consideriamo la tua ricerca fatta in buona fede e autorizzata, e non intraprenderemo azioni legali nei tuoi confronti per averla fatta. Se qualcun altro dovesse contestartela per una prova rientrante in questi limiti, siamo disponibili a chiarire per iscritto che eri autorizzato.

Vale la pena dirlo al contrario, perché RFC 9116 avverte proprio di questo equivoco: l'esistenza di un file security.txt non è di per sé un permesso a fare test su nessuno. Il permesso è questo paragrafo, e vale entro i limiti scritti nel paragrafo prima.

Una cosa che non c'entra con la sicurezza

Per domande generali, problemi con l'app e richieste sui dati personali la casella è la stessa; trovi le risposte più comuni in Assistenza, e i dati trattati nell'informativa privacy.