# security.txt — FD Consulting S.R.L. / OPDesk (RFC 9116)
# Punto di contatto unico per la segnalazione di vulnerabilità di sicurezza.
# Da pubblicare identico su opdesk.it, app.opdesk.it, area.opdesk.it e
# fdconsultingsrl.com. Le copie nel repository sono tre — backend/pagine,
# frontend/public/.well-known, vetrina/site/.well-known — perché sono tre
# immagini diverse: il backend non contiene i file del frontend, e la vetrina è
# un container nginx suo che non conosce nessuno dei due.
# ⚠️ I `Canonical:` devono elencare TUTTI gli host su cui il file risponde: per
# RFC 9116 §2.5.2 un file scaricato da un indirizzo che non compare fra i
# Canonical non è autorevole per quell'host, e chi trova un difetto conclude
# che questo non è il canale giusto — cioè non segnala.
# `opdesk.it` è la vetrina pubblica, il primo nome che un ricercatore prova
# perché è quello scritto sul prodotto; `area.opdesk.it` è l'unico host che una
# persona senza account apre, quindi il più probabile da cui arrivi una
# segnalazione.
# `www.fdconsultingsrl.com` sta accanto all'apex e non al posto suo: l'apex
# risponde 301 verso il www, quindi il file è servito dal www — ma l'apex resta
# l'indirizzo che si prova per primo, e toglierlo lo renderebbe non autorevole
# proprio dove chi cerca comincia.
# `www.opdesk.it` è nell'elenco per il motivo opposto e simmetrico: NON è un
# redirect, è lo stesso container della vetrina (misurato l'8.9.2026 — corpo
# del 404 identico al byte su opdesk.it e www.opdesk.it). Il file quindi
# risponde anche lì, e un host su cui il file risponde senza comparire fra i
# Canonical è precisamente il difetto che questo elenco esiste per evitare.

Contact: mailto:security@fdconsultingsrl.com
Expires: 2027-07-01T00:00:00.000Z
Preferred-Languages: it, en
Canonical: https://opdesk.it/.well-known/security.txt
Canonical: https://www.opdesk.it/.well-known/security.txt
Canonical: https://app.opdesk.it/.well-known/security.txt
Canonical: https://area.opdesk.it/.well-known/security.txt
Canonical: https://fdconsultingsrl.com/.well-known/security.txt
Canonical: https://www.fdconsultingsrl.com/.well-known/security.txt
Policy: https://fdconsultingsrl.com/cvd.html