RESPONSIBLE DISCLOSURE PROGRAM
Il mantenimento della riservatezza, dell'integrità e della disponibilità dei nostri sistemi e servizi è un aspetto cruciale delle nostre operazioni quotidiane.
Il programma
Attualmente il Gruppo Swissquote non prevede un programma di correzione dei bug e non autorizza la ricerca attiva di vulnerabilità sui propri siti web e servizi. Tuttavia, qualora individuassi delle vulnerabilità a livello di sicurezza, apprezzeremmo molto la tua collaborazione nel segnalarcele in maniera responsabile.
La segnalazione deve avvenire via e-mail all'indirizzo: vulnerability_disclosure@swissquote.ch fornendo tutte le informazioni che si ritengono necessarie per illustrare la questione e le modalità con cui è stata riscontrata.
Una tradizionale segnalazione di vulnerabilità dovrebbe contenere le seguenti informazioni:
- una descrizione della vulnerabilità e del suo potenziale impatto;
- l'elenco degli host, dei servizi o degli URL interessati;
- le azioni necessarie per riprodurre la vulnerabilità;
- le modalità di identificazione della vulnerabilità;
- i tuoi dati di contatto.
Segnala una sola vulnerabilità per volta, a meno che non sia necessario presentare un'intera serie di vulnerabilità per un impatto quantificabile. Confermeremo la ricezione della segnalazione, ma non forniremo ulteriori informazioni sui relativi accertamenti.
As stated above, active research of vulnerabilities (e.g., scans) is not authorised. Also note that the following activities are strictly forbidden and monitored:
- any activity that could lead to the disruption of our services (DoS, DDoS, spam, etc...);
- any activity that would threaten the integrity of user data;
- any activity that would breach the confidentiality of user data;
- usage of automated tools to find vulnerabilities;
- any fraudulent transaction.
Swissquote Group reserves the right to bring any legal action against any person acting in a manner considered as illegal, illicit or as infringing the above.
This program applies to the following:
- domains where Swissquote Group Holding SA is listed as the Registrant Organisation, more specifically domains under "swissquote.ch" and "swissquote.com"; "library.swissquote.com" is excluded from the above;
- domains where YUH SA is listed as the Registrant Organisation;
- mobile applications published by Swissquote Mobile on the Android Play Store;
- mobile applications published by Swissquote on the Apple Store.
Certain vulnerabilities are considered out of scope for this program. These include:
- outdated or vulnerable software versions if no clear exploitability can be demonstrated;
- bugs requiring non-trivial prior knowledge, such as a session token, as prerequisite;
- missing best practices in SSL/TLS configuration;
- social engineering related issues;
- physical security of Swissquote Group property.
If you didn’t find the information you were looking for or you still have questions, check out other Help categories.