Politica di sicurezza

Il nostro impegno per la sicurezza: prima di tutto, non nuocere

I medici seguono un'antica regola: primum non nocere, prima di tutto, non nuocere. Applichiamo la stessa regola ai nostri moduli.

Quando installi un modulo PrestaShop, dai al suo codice lo stesso potere sul tuo negozio che hanno i tuoi collaboratori. Il codice viene eseguito sulle tue pagine, legge e modifica il tuo database e gestisce i tuoi ordini e i dati dei tuoi clienti. Sviluppiamo moduli PrestaShop dal 2013 e non dimentichiamo mai quanta fiducia questo comporti. Il nostro primo dovere è non compromettere il funzionamento del tuo negozio. Il secondo è migliorarlo.

Cosa significa «non nuocere» nella pratica

Testato prima di arrivare a te: Installiamo ogni versione su un negozio appena creato prima di pubblicarla.
Aggiornamenti sicuri: Module Updates & Remote Assist verifica ogni download prima di installarlo, crea prima una copia di backup della versione attuale e ripristina automaticamente lo stato precedente se un'installazione o un aggiornamento si interrompe.
Nessuna backdoor: Nessuna backdoor, nessun codice offuscato, nessuna raccolta di dati nascosta e nessuna connessione in uscita senza uno scopo documentato (sezione 1).

La tua privacy e quella dei tuoi clienti

I dati personali dei tuoi clienti restano nel tuo negozio: I nostri moduli non ci inviano nomi, indirizzi, ordini o dati di pagamento (sezione 2).
Escono dal negozio solo se lo scegli tu: I dati personali vengono inviati solo a un servizio che colleghi tu, come un corriere o un fornitore di servizi di pagamento (sezione 8).
Quando ci chiedi aiuto: Lavoriamo solo con ciò che serve per la tua richiesta. L'accesso al negozio, i log e le credenziali vengono gestiti da una persona o su macchine di nostra proprietà, mai da un'IA nel cloud (vedi Come usiamo l'IA).
I tuoi dati: La nostra Informativa sulla privacy spiega quali dati conserviamo su di te come nostro cliente e perché.

Decidi tu chi può accedere

Approvi ogni autorizzazione di accesso per il supporto dal tuo Back Office, scegli quanto accesso concederci e puoi interromperlo in qualsiasi momento. Non devi mai condividere una password con noi (sezione 4).

Le vulnerabilità vengono corrette, nei moduli a pagamento e gratuiti

Se viene scoperta una vulnerabilità di sicurezza in uno qualsiasi dei nostri moduli, a pagamento o gratuiti, puntiamo a correggerla e ad avvisare i negozi a rischio. Segnalala a security@mypresta.rocks (sezione 7).

Sviluppiamo anche strumenti di sicurezza

Security Revolution: firewall, limitazione della frequenza delle richieste, visibilità sulle sessioni e accesso con autenticazione a due fattori al Back Office, per PrestaShop dalla versione 1.6 alla 9.
Scansione di Sicurezza: controlla il tuo negozio, i moduli e il server, poi segnala ogni punto debole con un punteggio e i passaggi precisi per risolverlo.

Se mai dovessimo venir meno a questi impegni, scrivici a security@mypresta.rocks. Trattiamo ogni segnalazione come urgente.

1. Standard di sicurezza dei moduli

Tutti i moduli seguono queste pratiche:

Validazione degli input: tutti gli input vengono validati e sanificati per prevenire SQL injection, XSS e altri vettori di attacco.
Framework di sicurezza PrestaShop: utilizziamo le funzioni di sicurezza integrate di PrestaShop -- pSQL(), i metodi della classe Validate, la verifica dei token CSRF e l'escaping appropriato.
Nessuna chiamata esterna senza scopo: i moduli non effettuano richieste HTTP esterne non autorizzate. Le connessioni in uscita (rapporti di installazione dei moduli gratuiti, verifica licenza, controllo aggiornamenti) sono documentate e servono uno scopo preciso.
Nessuna backdoor: nessun punto di accesso nascosto, nessun codice offuscato, nessuna raccolta dati non dichiarata.
Permessi minimi: i moduli richiedono solo le tabelle, gli hook e i permessi necessari al funzionamento.
Manutenzione attiva: puntiamo a rilasciare una correzione per ogni problema di sicurezza confermato nei nostri moduli, a pagamento o gratuiti.

2. Dati che i nostri moduli non ci inviano

I nostri moduli non ci inviano i dati personali dei tuoi clienti. La diagnostica facoltativa invia solo dati tecnici. I nostri moduli non ci trasmettono nessuno dei seguenti dati dei clienti del tuo negozio:

Dati personali dei clienti (nomi, email, numeri di telefono, indirizzi)
Informazioni di pagamento (numeri di carta di credito, coordinate bancarie, registrazioni transazioni)
Password dei clienti o credenziali di autenticazione
Contenuti degli ordini o cronologia acquisti dei singoli clienti
Qualsiasi dato classificato come dato personale ai sensi del GDPR, CCPA o normative equivalenti

3. Dati a cui POSSIAMO accedere

Quando richiedi supporto, trattiamo i dati che condividi, come credenziali di accesso, log e screenshot, solo per gestire quella richiesta e con il tuo consenso. Possiamo anche accedere ai dati tecnici di configurazione pertinenti, tra cui:

Versione di PrestaShop e PHP
Lista dei moduli e numeri di versione
Nome e configurazione del tema
Dettagli dell'ambiente server (tipo di web server, versione MySQL, limiti di memoria)
Impostazioni del negozio rilevanti per la funzionalità del modulo (configurazione multi-store, valuta, impostazioni lingua)
Valori di configurazione specifici del modulo
Log degli errori e output di debug relativi al funzionamento del modulo
Struttura delle tabelle del database dei nostri moduli -- non i dati nelle tabelle clienti/ordini

Queste informazioni vengono utilizzate per diagnosticare problemi, fornire supporto e garantire la compatibilità. Non vengono condivise con terzi, non vengono usate per marketing e non vengono conservate oltre la durata dell'interazione di supporto, salvo necessità per la risoluzione di un caso in corso.

4. Accesso remoto e sessioni di supporto

Il modo più sicuro per concederci l'accesso è Module Updates & Remote Assist: approvi ogni autorizzazione di accesso nel tuo Back Office, scegli «Solo visione», «Correggi impostazioni» o «Controllo completo» e puoi interrompere l'accesso in qualsiasi momento. Le autorizzazioni scadono se non le prolunghi. Accediamo tramite un link firmato monouso, quindi non devi mai condividere una password con noi, e ogni azione compare nel tuo elenco delle attività.

Se invece ci comunichi le credenziali di accesso, per esempio perché il tuo Back Office non è raggiungibile:

L'accesso viene utilizzato esclusivamente per lo scopo di supporto dichiarato
Raccomandiamo di creare un account dipendente temporaneo dedicato con permessi limitati
Raccomandiamo di revocare l'accesso (eliminare l'account o modificare le credenziali) dopo la sessione
Non conserviamo le tue credenziali dopo la sessione
Non accediamo ad aree del negozio non correlate alla richiesta di supporto
Qualsiasi modifica effettuata durante la sessione ti verrà comunicata

5. Ambienti demo e di prova

Per i nostri negozi demo on-demand (mypresta.rocks/demos):

Gli ambienti demo sono isolati e temporanei
Nessun dato reale dei clienti è presente nei negozi demo
I negozi demo possono essere monitorati per la prevenzione degli abusi
I dati inseriti nei negozi demo non vengono salvati e possono essere eliminati in qualsiasi momento
Consulta i nostri Termini dei negozi demo on-demand per i dettagli

6. Verifica della licenza

I rapporti di installazione dei moduli gratuiti, l’avvio della prova, l’attivazione e la verifica della licenza inviano al nostro server i dati tecnici necessari, tra cui:

Il dominio configurato e gli identificativi del negozio e dell’installazione
Identificativi di modulo e rilascio, versioni e hash di integrità; versioni di PrestaShop e PHP
Solo per attivazione o verifica: identificativi di attivazione o verifica e prove di autenticazione; la chiave serve per l’attivazione con chiave, non viene inviata a ogni verifica in background

I moduli gratuiti segnalano la propria installazione senza bloccare né limitare il modulo. Questi dati servono per i rapporti di installazione e per verificare prove, licenze, integrità dei rilasci e aggiornamenti, non per raccogliere i dati personali dei tuoi clienti. Consulta Licenze e assistenza per le regole complete.

7. Segnalazione delle vulnerabilità

Se scopri una vulnerabilità di sicurezza in uno dei nostri moduli, segnalala a security@mypresta.rocks. Provvederemo a:

Cercare di confermare la ricezione entro 24 ore
Indagare e valutare la gravità
Puntare a sviluppare e rilasciare una correzione per ogni problema di sicurezza confermato nei nostri moduli, a pagamento o gratuiti
Notificare i clienti interessati se la vulnerabilità comporta un rischio significativo

Apprezziamo la divulgazione responsabile e chiediamo di non condividere pubblicamente i dettagli della vulnerabilità finché non sarà disponibile una correzione.

8. Servizi di terze parti

I nostri moduli non si integrano con servizi di terze parti per analytics, tracciamento o pubblicità, salvo indicazione nella descrizione del modulo. Quando un modulo si integra con un servizio esterno (API corriere, gateway di pagamento), la cosa è documentata e richiede la tua configurazione esplicita.

9. Le tue responsabilità

Mantieni aggiornata l'installazione PrestaShop e tutti i moduli
Usa password forti per tutti gli account del Back Office
Effettua backup regolari
Rivedi e configura le impostazioni dei moduli in modo appropriato per il tuo ambiente
Ti consigliamo vivamente di testare i moduli su una copia di staging del tuo negozio prima di usarli sul negozio in produzione
Revoca qualsiasi accesso temporaneo concesso per il supporto

10. Contatti

Domande sulla sicurezza: security@mypresta.rocks.

Politica di sicurezza