1. Come proteggiamo il tuo account
- HTTPS ovunque. more.you, l'app, il server MCP e le pagine pubblicate passano tutti su HTTPS. I domini personalizzati ricevono un certificato in automatico.
- Accesso con Google. Accedi con il tuo account Google, quindi More.You non vede mai la tua password Google. Una password salvata da una registrazione precedente è conservata solo come hash bcrypt.
- Sessioni sicure. I cookie di accesso sono sicuri e HttpOnly, quindi gli script di una pagina non possono leggerli.
- Connessioni AI sotto il tuo controllo. AI Control collega un assistente tramite OAuth. Approvi tu ogni connessione e puoi rimuoverla.
- Nessun segreto nel codice. Chiavi e password stanno in AWS Systems Manager Parameter Store.
- Protezione dagli abusi. Limiti di frequenza su accesso e registrazione, e un controllo che ogni richiesta che modifica dati arrivi dal nostro sito.
- Pagamenti con Stripe. I dati della carta vanno direttamente a Stripe. Non vediamo e non conserviamo mai i numeri delle carte.
L'Informativa sulla privacy spiega quali dati conserviamo e con chi li condividiamo.
2. Segnala una vulnerabilità
Scrivi a security@more.you e includi:
- una descrizione del problema e di cosa potrebbe fare un malintenzionato;
- i passaggi per riprodurlo, con eventuale codice di prova o schermate;
- dove si trova, per esempio more.you, app.more.you o mcp.more.you;
- il tuo nome o nome utente, se vuoi essere citato.
Non inserire una vulnerabilità in una segnalazione pubblica, in una recensione o in un post sui social.
3. Ambito
Incluso
- more.you e i sottodomini che gestiamo, tra cui app.more.you e api-app.more.you.
- Le pagine pubblicate su more.you/<name> e sui domini personalizzati collegati.
- Il server MCP di More.You su mcp.more.you/api e il suo accesso OAuth.
Escluso
- Problemi nei servizi che usiamo, come Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare e i social network. Segnalali all'azienda che li gestisce.
- Problemi negli assistenti AI che si collegano al nostro server MCP, come ChatGPT, Claude e Gemini.
- Attacchi che richiedono accesso fisico al dispositivo di una vittima, ingegneria sociale contro il nostro personale o negazione del servizio tramite volume di traffico.
- Problemi già pubblici.
- Segnalazioni che non dimostrano un danno reale.
4. Regole per i test
- Fai test solo sul tuo account e sulle tue pagine.
- Non leggere, modificare o cancellare i dati di altre persone. Se ci arrivi per caso, fermati e dicci cosa hai visto.
- Non lanciare scansioni automatiche che rallentano il Servizio per gli altri.
- Non cercare di ottenere un pagamento da una pagina che non è tua e non usare carte che non sei autorizzato a usare.
5. Tutela legale (safe harbour)
Se ti impegni in buona fede a rispettare questa politica durante la tua ricerca, consideriamo la tua ricerca autorizzata. Lavoreremo con te per capire e risolvere il problema in fretta e non avvieremo né sosterremo azioni legali al riguardo.
6. Divulgazione coordinata
Dacci un tempo ragionevole per verificare e risolvere il problema prima di renderlo pubblico. Una volta risolto, siamo felici di citarti in qualsiasi avviso pubblico.
7. security.txt
Pubblichiamo /.well-known/security.txt secondo l'RFC 9116, con lo stesso indirizzo di contatto e un link a questa pagina.
8. Tieni al sicuro il tuo account
- Attiva la verifica in due passaggi per l'account Google con cui accedi.
- Rimuovi gli assistenti AI e le connessioni Stripe che non usi più.
- Non chiediamo mai la tua password per email. Se una email te la chiede, inoltrala a security@more.you.
