Sicurezza
Sicurezza e versioni supportate
Quali versioni di Cleitext ricevono correzioni, come segnalarci una vulnerabilità e come la correzione arriva al tuo sito.
Prima, due parole
Pubblichiamo nuove versioni di Cleitext molto spesso, a volte più di una al giorno. Ognuna è un aggiornamento sicuro: viene provata prima che il sito ci passi, e puoi sempre tornare indietro. Per questo contiamo le versioni così:
- Una versione (release) è una versione minore con le sue correzioni: per esempio 0.64.0, 0.64.1, 0.64.2… Dalla 1.0 in poi, lo stesso: 1.4.0, 1.4.1…
- Una linea è una versione principale. Prima della 1.0 tutta la serie 0.x è una sola linea; dalla 1.0 ogni versione principale (1.x, 2.x…) è una linea a sé.
Perché non una promessa per ogni versione minore? Con più versioni al giorno non sarebbe una promessa mantenibile, e non ti serve: passare all’ultima versione è un clic, con la prova prima e la strada per tornare indietro.
Versioni supportate
L’ultima versione e quella prima
Ricevono correzioni di errori e di sicurezza. Per esempio, se l’ultima è la 0.64: la 0.64 e la 0.63. Una correzione di sicurezza esce come nuova versione e, quando serve, anche come patch della versione precedente.
6 mesi per la linea precedente
Quando esce una nuova linea (la 1.0 dopo la 0.x, la 2.0 dopo la 1.x), l’ultima versione della linea precedente riceve correzioni di sicurezza per altri 6 mesi, così hai il tempo di passare.
Le versioni più vecchie non vengono corrette una per una: aggiorna all’ultima. È un clic, viene provata prima del passaggio e puoi tornare indietro.
La stessa regola vale per i plugin e i temi ufficiali del catalogo (l’ultima versione e quella prima) e per Cleitext Toolkit per Plesk (l’ultima versione e quella prima; i suoi aggiornamenti arrivano da cleitext.com).
Segnala una vulnerabilità
Hai trovato qualcosa che può mettere a rischio i siti Cleitext? Grazie: diccelo in privato, mai in una issue pubblica.
- Per email a [email protected], con «Security» nell’oggetto;
- oppure con una segnalazione privata su GitHub: il pulsante Report a vulnerability nella scheda Security del repository.
Indicaci la versione, i passi per riprodurla e cosa potrebbe fare un attaccante. Un piccolo esempio aiuta molto.
In quanto tempo rispondiamo
- Confermiamo di aver ricevuto la segnalazione entro 3 giorni lavorativi
- Una prima valutazione entro 7 giorni
- La correzione: problemi critici entro 7 giorni, alti entro 14 giorni, medi entro 30 giorni, bassi in una versione normale
Ti teniamo aggiornato strada facendo.
Pubblicazione
Lavoriamo con te a una pubblicazione coordinata: quando la correzione è pronta pubblichiamo un avviso su GitHub e nelle note di versione, e una notizia sul blog per i problemi gravi. Ti ringraziamo per nome, se lo desideri.
Ti chiediamo di tenere riservati i dettagli finché la correzione non è uscita, al massimo per 90 giorni.
Come le correzioni arrivano al tuo sito
- Aggiornamenti nell’amministrazione: quando esce una nuova versione gli amministratori vedono un avviso e aggiornano con un pulsante (oppure
bin/cleitext updateda SSH). - Aggiornamenti sicuri: la nuova versione viene verificata con il suo SHA-256, si fa un backup, e la nuova versione viene avviata a parte e provata prima che il sito ci passi. Se qualcosa non va, il sito resta sulla versione che stava usando.
- Tornare indietro è un comando:
cleitext rollback,cleitext plugin:rollback,cleitext theme:rollback. - Plugin e temi del catalogo si aggiornano dall’amministrazione, in Plugin e Aspetto → Temi.
- Su Plesk, Cleitext Toolkit aggiorna e riporta indietro ogni installazione dal pannello, e si aggiorna da solo da cleitext.com.
Vuoi sapere come è protetto Cleitext? La checklist OWASP ASVS elenca le misure presenti e quelle ancora aperte.
