Claresia accoglie con favore la ricerca di sicurezza e premia le segnalazioni di vulnerabilità qualificate. Il programma pubblico Bugcrowd / HackerOne apre nel Q3 2026; fino ad allora, segnali direttamente a security@claresia.com nell'ambito della nostra Vulnerability Disclosure Policy pubblica.
Claresia si impegna a quanto segue quando un ricercatore segnala in buona fede una vulnerabilità:
Le attività condotte in buona fede e in conformità a questa policy sono autorizzate. Claresia non avvierà né supporterà azioni legali correlate alla Sua ricerca, lavorerà con Lei per comprendere e risolvere il problema in tempi rapidi e considera la Sua attività autorizzata ai sensi del Computer Fraud and Abuse Act, del Digital Millennium Copyright Act e degli equivalenti normativi esteri applicabili.
| Severità | Fascia di ricompensa | Esempi |
|---|---|---|
| Critica | $5.000 – $15.000 | Esfiltrazione di dati Cliente, account takeover su larga scala, escalation di privilegi tra tenant. |
| Alta | $1.500 – $5.000 | Esposizione di dati di un singolo tenant, bypass di autenticazione, XSS persistente sulle superfici di amministrazione. |
| Media | $500 – $1.500 | XSS riflesso, CSRF su endpoint sensibili, divulgazione di informazioni sensibili. |
| Bassa | $100 – $500 | Punti deboli di configurazione, rate limit rilevanti per la sicurezza, misconfigurazioni a basso impatto. |
Fino al lancio del programma pubblico, le segnalazioni qualificate inviate a vdp@claresia.com saranno eleggibili retroattivamente a queste ricompense.
Invii un report chiaro che includa: URL impattata, passi di riproduzione, valutazione dell'impatto ed eventuale proof-of-concept. Cifri i dettagli sensibili con la nostra chiave PGP (disponibile su richiesta). Confermiamo entro 24 ore lavorative.