Règles d'engagement

1. L'autorisation est obligatoire

Un Check est un test de sécurité actif. Nous ne commençons qu'après que vous ayez fourni une autorisation écrite : vous confirmez que vous possédez les cibles du périmètre ou que vous êtes autorisé par leur propriétaire à les faire tester, vous nommez le périmètre exact et vous acceptez ces Règles. Nous enregistrons cette autorisation (qui, quoi, quand) comme preuve de consentement et la conservons pendant la durée requise par la loi. Si vous ne pouvez pas donner cette autorisation, nous ne pouvons pas tester la cible.

2. Périmètre

Nous testons uniquement les domaines, hôtes et applications que vous indiquez lors de l'autorisation, ainsi que les sous-domaines et services qui leur appartiennent et sont découverts lors de la reconnaissance. Nous ne testons rien en dehors de ce périmètre. Si la découverte révèle des actifs qui pourraient ne pas être les vôtres, nous vous consultons avant d'y toucher. Vous pouvez modifier ou réduire le périmètre à tout moment avant la fin des tests.

3. Comment nous testons

Les tests sont externes et non destructeurs. Nous effectuons une reconnaissance (sous-domaines, DNS, ports et services), une analyse TLS et HTTP, une empreinte des technologies et une analyse des vulnérabilités (Nuclei et OpenVAS). Au niveau App Pen Test, nous tentons en plus de confirmer les découvertes exploitables de façon contrôlée et minimale — juste assez pour prouver l'impact, jamais pour causer des dommages, exfiltrer des données réelles à grande échelle ou perturber votre service. Nous n'effectuons pas de tests de déni de service ou de charge, ne modifions ni ne supprimons vos données, et ne dépassons pas le périmètre autorisé.

4. Calendrier et perturbations

Les tests sont conçus pour rester bien en deçà des niveaux de trafic normaux. Si vous avez besoin d'une fenêtre précise ou devez exclure un système fragile, indiquez-le dans vos notes. Dans le cas peu probable où nos tests sembleraient affecter votre service, nous suspendons immédiatement. Vous pouvez nous demander d'arrêter à tout moment, pour n'importe quelle raison, et nous le ferons.

5. Découvertes critiques

Si nous trouvons quelque chose de critique — par exemple une base de données exposée, une vulnérabilité activement exploitée ou des identifiants exposés — nous vous le disons dès que nous le confirmons, avant le rapport final, afin que vous puissiez agir. Nous ne divulguons vos découvertes à personne d'autre.

6. Plateformes tierces

Si vos cibles sont hébergées chez un fournisseur (par exemple une plateforme cloud ou un hébergeur géré), ses propres conditions peuvent exiger que vous le notifiiez ou demandiez l'autorisation avant les tests. S'assurer qu'une telle autorisation du fournisseur est en place relève de votre responsabilité ; nous vous indiquons volontiers ce que nous prévoyons d'exécuter.

7. Vos données

Nous traitons toutes les données rencontrées comme confidentielles, ne collectons que ce qui est nécessaire pour démontrer une découverte et stockons les résultats de l'évaluation en toute sécurité. Les rapports et les preuves ne sont partagés qu'avec vous. Voir la Confidentialité.

8. Ce qu'une évaluation n'est pas

Une évaluation externe reflète ce qui est accessible et testable depuis Internet, dans le périmètre convenu, au moment du scan. Elle ne peut pas prouver qu'aucune vulnérabilité n'existe et ne remplace pas un programme continu ni une certification formelle. Corriger les découvertes et vérifier les corrections reste votre responsabilité — le niveau App Pen Test inclut un nouveau test pour vous aider.

9. Contact

Questions sur le périmètre ou la conduite : hello@riskbits.net. Ionuț-Robert Sandu, Persoană Fizică Autorizată (PFA), CUI 51596898, B-dul Bucureștii Noi 136, parter, ap. 5, Sector 1, Bucharest, Romania.