Divulgazione responsabile: Hai trovato una vulnerabilità? Dicci

Rovian è una piattaforma di scacchi giocata tramite video e audio in diretta. Questo significa che un bug di sicurezza può influire non solo sui dati ma anche su quelli delle persone Telecamere e microfoni. Prendiamo i rapporti sul serio e preferiremmo di gran lunga lavorare con i ricercatori piuttosto che combatterli.

📮 Come denunciare

Un indirizzo: [email protected] — per favore metti [SICUREZZA] nell'oggetto. Contattaci prima di rivelare pubblicamente; Prima risolviamola, poi raccontiamo la storia insieme se vuoi.

I rapporti avanzano molto più velocemente quando includono:

• Dove: l'URL, l'endpoint o la schermata interessata (ad esempio rovian.co/..., realtime.rovian.co, l'app mobile).
• Come: Riproduzione passo dopo passo — un esempio di richiesta/risposta, uno screenshot o un breve video.
• Impatto: Cosa può fare effettivamente un attaccante? (ad esempio "Posso leggere la cronologia delle partite di un altro utente".)
• La tua configurazione: browser/dispositivo e l'account di test che hai usato.
• Il tuo nome: Come vorresti essere accreditato (o dicci se preferisci rimanere anonimo).

Vuoi inviarla criptata? Chiedicelo e ci scambieremo le chiavi. (Una volta pubblicata una chiave PGP, sarà annunciata nel Crittografia Campo di /.ben noto/security.txt — se non c'è, non ne abbiamo ancora uno.)

⏱️ Cosa ti promettiamo

• Riceviamo la sua segnalazione entro 3 giorni lavorativi (una persona reale, non un autoresponder).
• Condividiamo la nostra valutazione iniziale entro 10 giorni lavorativi: È valido, quanto grave, cosa intendiamo fare.
• Noi Ti tengo aggiornato mentre lo sistemiamo e vi avvisiamo quando è chiuso.
• Per problemi seri puntiamo a risolvere entro 90 giorni. Se ci vorrà più tempo, ti diremo il perché.
• Con il vostro permesso, noi Ti meriti nei ringraziamenti qui sotto.

Rovian è costruito da un piccolo team; non gestiamo un centro operativo di sicurezza 24/7. Queste tempistiche sono quelle che possiamo effettivamente rispettare — e se non ci riusciamo, vi scriveremo.

⚖️ Porto Sicuro

Ricerca svolta In buona fede e entro le regole seguenti è riportata la ricerca autorizzata. Se rimani in questo ambito:

• Lo faremo Non intraprendere azioni legali contro di te e non presenterò reclamo.
• Non sei considerato aver violato i nostri Termini di Servizio a causa dei passaggi tecnici della tua ricerca, e non chiuderemo il tuo account per questo.
• Se una terza parte prende provvedimenti contro di te, lo faremo noi conferma per iscritto Che hai seguito le nostre regole.

Ad essere onesti sui limiti: questo è il nostro impegno, e questo non possono rinunciare ai diritti di terzi o dei procuratori — possiamo parlare solo per noi stessi. Comportamenti al di fuori di queste regole (esfiltrazione di dati, estorsione, danneggiamento di altri utenti) rientrano completamente fuori da questa protezione.

🎯 Ambito

• rovian.co e tutte le sue pagine (web app, endpoint API)
• realtime.rovian.co — socket gioco/chat e segnalazione WebRTC
• Le app mobili Rovian (iOS e Android)
• Autenticazione, gestione delle sessioni e flussi di autorizzazione
• Bypass della moderazione e protezioni a limite di età

Fuori ambito

• I servizi di terze parti che utilizziamo (Railway, Cloudflare, Sentry, Snap, Google e altri) — si prega di segnalarli ai loro programmi.
• Denial of service (DoS/DDoS), test di carico/stress e attacchi di forza bruta.
• Ingegneria sociale, phishing, attacchi fisici e qualsiasi cosa che prenda di mira il nostro personale.
• Output automatico grezzo dello scanner con Nessun impatto dimostrato (intestazioni mancanti, divulgazione delle versioni, note SPF/DMARC e simili).
• Auto-XSS, codice che l'utente incolla nel proprio browser, e scenari irrealistici (ad esempio assumendo un dispositivo completamente compromesso).
• Enumerazione di nomi utente/email e risultati simili senza alcun impatto autonomo — anche se siamo felici di sentirne parlare come parte di una catena sfruttabile.

🚧 Regole di ingaggio

Le persone giocano su Rovian con una telecamera live e un microfono. La maggior parte delle nostre regole esiste per proteggere questo:

• Prova con i tuoi account. Non toccare account, giochi o messaggi di utenti reali.
• Se scopri di poter accedere alla fotocamera, all'audio o alla chat di un altro utente, FERMATI. Non registrare, conservare o condividerlo. Descrivi cosa è successo a parole invece di allegare uno screenshot — per noi è una prova sufficiente.
• Non farlo. scarica, copia, elimina o modifica Dati personali a cui puoi accedere. Usa la prova di accesso più piccola possibile.
• Non interrompere il servizio: nessun tentativo di DoS, nessuna cancellazione dei dati, nessuna deturpazione.
• Non degradare l'esperienza degli altri utenti né spammare giochi e chat.
• Non condividere la tua scoperta con terze parti finché non sarà risolto; Dopodiché ti supportiamo per pubblicarlo.

🏅 Ricompense

Noi non può pagare le taglie in contanti al momento. Rovian è una piattaforma piccola e con entrate iniziali, e preferiremmo dirlo subito piuttosto che promettere una ricompensa che non possiamo onorare e far perdere tempo a un ricercatore.

Cosa possiamo offrire invece:

• Credito nei ringraziamenti Qui sotto (con un link al tuo sito o profilo se vuoi).
• Su richiesta, un Lettera di riconoscimento/referenza firmata Descrivendo la tua scoperta e come l'hai gestita.
• Accesso permanente gratuito al premio a Rovian per i risultati critici.
• Se vuoi, Pubblicazione coordinata dopo la soluzione (un post sul blog, supporto tramite un processo CVE).

Quando saremo in grado di gestire un programma di taglie a pagamento, lo annunceremo in questa pagina e aggiorneremo l'ambito qui.

🚨 Urgente: Sicurezza dei bambini

Un sospetto utilizzatore minorenne o materiale di abuso sessuale su minorenni (CSAM) è Non un "rapporto di vulnerabilità" e non è soggetto a una scadenza di 90 giorni. Segnalarlo immediatamente a [email protected] con il Oggetto "SICUREZZA URGENTE DEI BAMBINI"; lo trattiamo come la nostra massima priorità. Non downloadare o memorizzare il contenuto come prova — dirci cosa hai visto e dove lo hai visto è sufficiente.

Per molestie sulla piattaforma, nudità e violazioni delle regole, usa il pulsante di segnalazione sullo schermo del gioco; i dettagli sono sulla nostra Comunità e Sicurezza pagina.

🔍 La nostra postura di sicurezza (senza esagerazioni)

Non troverai un badge “verificato indipendentemente” o “certificato di sicurezza” su questa pagina. È deliberato: nella sicurezza non esiste ulla come “superato”. Al massimo una valutazione dice “in questa data, in questo ambito, usando questa metodologia, abbiamo trovato quanto segue”. Ciò che è vero oggi potrebbe non esserlo dopo il deploy di domani.

Ecco invece l'immagine onesta:

• Cosa abbiamo fatto: un test di penetrazione autorizzato (luglio 2026) e revisioni interne di sicurezza regolari; un audit del codice su ogni modifica sensibile alla sicurezza.
• Difese in atto: Content-Security-Policy basata su nonce, una lista di allowed connect-src allowlist, validazione della sessione ripetuta su ogni percorso server, limitazione di velocità, firma irreversibile del dispositivo contro l'evasione del ban e nessuna registrazione automatica delle chiamate normali. Le chiamate normali non vengono registrate automaticamente. Le prove di moderazione attivate dall'utente e le funzionalità dei clip che richiedono un consenso esplicito sono eccezioni. Le clip delle partite richiedono che entrambi i giocatori abilitino il consenso alla registrazione. Consulta l'Informativa sulla Privacy per i dettagli.
• Ciò che NON dichiariamo: qualsiasi certificazione di sicurezza di terze parti, attestazione ISO/SOC o garanzia di essere "senza bug". Non possediamo alcun certificato del genere — se ne possedessimo, indicheremmo proprio qui l'azienda, l'ambito di applicazione e la data.

Il vero segnale di fiducia non è un badge; è che chi trova un microspetto sa esattamente dove portarlo. È per questo che esiste questa pagina.

🙏 Ringraziamenti

I ricercatori che aiutano a mantenere Rovian al sicuro sono accreditati qui. La lista è Attualmente vuoto — potresti essere il primo. Se desideri che il tuo nome (e opzionalmente un link) venga elencato, basta indicarlo nel tuo rapporto.

I termini di questo programma possono essere aggiornati senza preavviso; la versione attuale è sempre presente in questa pagina. Versione leggibile da macchina: /.ben noto/security.txt (RFC 9116).