Reglas de compromiso

1. La autorización es obligatoria

Un Check es una prueba de seguridad activa. Solo comenzamos después de que facilites una autorización por escrito: confirmas que posees los objetivos del alcance o que su propietario te autoriza a que se prueben, indicas el alcance exacto y aceptas estas Reglas. Registramos esa autorización (quién, qué, cuándo) como prueba de consentimiento y la conservamos durante el periodo exigido por la ley. Si no puedes otorgar esa autorización, no podemos probar el objetivo.

2. Alcance

Solo probamos los dominios, hosts y aplicaciones que indicas al autorizar la evaluación, además de los subdominios y servicios que les pertenecen y se descubren durante el reconocimiento. No probamos nada fuera de ese alcance. Si el descubrimiento revela activos que podrían no ser tuyos, te consultamos antes de tocarlos. Puedes cambiar o reducir el alcance en cualquier momento antes de que terminen las pruebas.

3. Cómo probamos

Las pruebas son externas y no destructivas. Realizamos reconocimiento (subdominios, DNS, puertos y servicios), análisis de TLS y HTTP, fingerprinting de tecnologías y un análisis de vulnerabilidades (Nuclei y OpenVAS). En el nivel App Pen Test intentamos además confirmar los hallazgos explotables de forma controlada y mínima — solo lo suficiente para probar el impacto, nunca para causar daños, exfiltrar datos reales a gran escala o interrumpir tu servicio. No ejecutamos pruebas de denegación de servicio ni de carga, no alteramos ni borramos tus datos, y no nos extendemos más allá del alcance autorizado.

4. Programación e interrupciones

Las pruebas están diseñadas para mantenerse muy por debajo de los niveles normales de tráfico. Si necesitas una ventana concreta o debes excluir un sistema frágil, indícalo en tus notas. En el caso improbable de que nuestras pruebas parezcan afectar tu servicio, pausamos de inmediato. Puedes pedirnos que paremos en cualquier momento, por cualquier motivo, y lo haremos.

5. Hallazgos críticos

Si encontramos algo crítico — por ejemplo una base de datos expuesta, una vulnerabilidad explotada activamente o credenciales expuestas — te lo decimos en cuanto lo confirmamos, antes del informe final, para que puedas actuar. No divulgamos tus hallazgos a nadie más.

6. Plataformas de terceros

Si tus objetivos están alojados en un proveedor (por ejemplo una plataforma en la nube o un host gestionado), sus propios términos pueden exigir que lo notifiques o pidas permiso antes de las pruebas. Asegurar que exista dicha autorización del proveedor es tu responsabilidad; con gusto te decimos qué tenemos previsto ejecutar.

7. Tus datos

Tratamos como confidenciales todos los datos que encontramos, recopilamos solo lo necesario para demostrar un hallazgo y almacenamos los resultados de la evaluación de forma segura. Los informes y las pruebas solo se comparten contigo. Consulta la Privacidad.

8. Qué no es una evaluación

Una evaluación externa refleja lo que es accesible y comprobable desde Internet, dentro del alcance acordado, en el momento del escaneo. No puede probar que no exista ninguna vulnerabilidad y no sustituye un programa continuo ni una certificación formal. Corregir los hallazgos y verificar las correcciones sigue siendo tu responsabilidad — el nivel App Pen Test incluye una reverificación para ayudar.

9. Contacto

Preguntas sobre el alcance o la conducta: hello@riskbits.net. Ionuț-Robert Sandu, Persoană Fizică Autorizată (PFA), CUI 51596898, B-dul Bucureștii Noi 136, parter, ap. 5, Sector 1, Bucharest, Romania.