Politica di sicurezza

Ultimo aggiornamento: 13 ottobre 2026

dlpbench.com è un banco gratuito per testare il DLP. Accettiamo di proposito traffico che somiglia a una fuga di dati, così che i Suoi controlli possano vederlo e reagire. Un comportamento che su un normale sito di produzione sembrerebbe strano qui è spesso voluto.

Di seguito: che cosa non consideriamo una vulnerabilità, quali segnalazioni esamineremo e a chi scrivere. Le regole d’uso e le informazioni sui visitatori sono nelle Condizioni d’uso.

Come segnalare un problema di sicurezza

I bug dell’interfaccia e le idee per il prodotto vanno inviati tramite il modulo di contatto. Usi l’indirizzo qui sotto solo per questioni di sicurezza.

A: info@dlpbench.com

Oggetto: Security: breve descrizione

Nel messaggio è utile indicare:

1. che cosa ha trovato e perché è importante;
2. come riprodurlo (curl o un breve script);
3. quale host o componente è interessato;
4. un nome o un nickname per il riconoscimento, se lo desidera.

Confermeremo la ricezione, valuteremo la segnalazione e correggeremo i problemi in base alla gravità. I tempi dipendono dall’impatto: è un obiettivo pratico, non uno SLA contrattuale.

Non esegua attacchi denial-of-service, non cancelli i file di test di altri utenti e non usi il nostro servizio come trampolino verso l’infrastruttura del provider di hosting o verso CDN e servizi di terze parti non correlati.

Accogliamo con favore la ricerca in buona fede, coerente con questa politica. Questa pagina esprime l’intento del gestore nei confronti dei ricercatori; non costituisce una tutela legale (safe harbor) autonoma né una garanzia.

Che cosa non è una vulnerabilità

Per i punti seguenti la nostra risposta è: «funziona come previsto».

Nome utente e password FTP aperti

Le credenziali nella pagina Test FTP sono pubblicate di proposito. Trovarle o ripubblicarle non è un incidente.

Il POST di test accetta qualsiasi corpo

/api/http-post/ è il canale principale del banco. Può inviare JSON, dati di un modulo, stringhe che sembrano SQL injection, numeri di carta di test o un file binario: il server legge il corpo e risponde con successo. Se il Suo browser ha un cookie di sessione, il risultato è visibile per breve tempo solo a Lei. Un 200 su una richiesta dall’aspetto sospetto è un comportamento normale del banco, non una falla.

Archiviazione condivisa di breve durata

Sui canali FTP e a oggetti condivisi, gli utenti non sono isolati l’uno dall’altro fino alla pulizia. La conservazione è breve; limitiamo la frequenza delle richieste da un singolo IP. Non vi carichi nulla di riservato.

SSN, IBAN e numeri di carta «dall’aspetto reale» nei campioni

I numeri sono scelti in modo da superare i controlli di formato (checksum, Luhn e simili). Non sono collegati a persone reali. Pubblicarli non è una fuga da un database.

Nessun filtro sui contenuti «sospetti» nei POST di test

Se bloccassimo all’ingresso i tipici payload di test, l’esercizio di DLP smetterebbe di funzionare.

Che cosa rientra nell’ambito

• il sito dlpbench.com e la sua applicazione;
• no-ssl.dlpbench.com e il lato web di s3.dlpbench.com;
• l’accesso a dati oltre quanto volutamente pubblico, ad esempio la posta del gestore, file del sito fuori dalle directory di test o segreti di configurazione;
• XSS e CSRF che interessano altri visitatori;
• configurazioni errate che espongono sorgenti con segreti, file .env o directory private.

I problemi nell’infrastruttura di Fornex, nelle CDN di terze parti o presso altri fornitori vanno segnalati ai rispettivi titolari. Il modo in cui integriamo un servizio di terze parti nelle nostre pagine può invece essere segnalato a noi.

security.txt

/.well-known/security.txt (RFC 9116) riporta lo stesso indirizzo email info@dlpbench.com e un link a questa pagina.