Reguli de angajament

1. Autorizarea este obligatorie

Un Check este testare activă de securitate. Începem doar după ce oferi o autorizare scrisă: confirmi că deții țintele incluse sau că ești autorizat de proprietarul lor să fie testate, numești exact ce se testează și accepți aceste Reguli. Înregistrăm acea autorizare (cine, ce, când) ca dovadă a consimțământului și o păstrăm pe perioada cerută de lege. Dacă nu poți oferi această autorizare, nu putem testa ținta.

2. Ce testăm

Testăm doar domeniile, host-urile și aplicațiile pe care le listezi când autorizezi evaluarea, plus subdomeniile și serviciile care le aparțin și sunt descoperite în timpul recunoașterii. Nu testăm nimic în afara acestora. Dacă descoperirea scoate la iveală active care s-ar putea să nu fie ale tale, te întrebăm înainte să le atingem. Poți schimba sau restrânge ce se testează oricând înainte de finalizarea testării.

3. Cum testăm

Testarea este externă și non-distructivă. Efectuăm recunoaștere (subdomenii, DNS, porturi și servicii), analiză TLS și HTTP, identificarea tehnologiilor și o scanare de vulnerabilități (Nuclei și OpenVAS). Pe nivelul App Pen Test încercăm în plus să confirmăm descoperirile exploatabile într-un mod controlat și minim — doar cât să dovedim impactul, niciodată pentru a provoca daune, a extrage date reale la scară sau a-ți perturba serviciul. Nu rulăm testare de tip denial-of-service sau de încărcare, nu modificăm și nu ștergem datele tale și nu ne extindem dincolo de ce a fost autorizat.

4. Programare și perturbări

Testarea este concepută să rămână mult sub nivelurile normale de trafic. Dacă ai nevoie de o fereastră anume sau trebuie să excluzi un sistem fragil, spune-ne în notele tale. În cazul puțin probabil în care testarea noastră pare să-ți afecteze serviciul, ne oprim imediat. Ne poți spune să ne oprim oricând, din orice motiv, și o vom face.

5. Descoperiri critice

Dacă găsim ceva critic — de exemplu o bază de date expusă, o vulnerabilitate exploatată activ sau credențiale expuse — îți spunem imediat ce o confirmăm, înainte de raportul final, ca să poți acționa. Nu dezvăluim descoperirile tale nimănui altcuiva.

6. Platforme terțe

Dacă țintele tale sunt găzduite la un furnizor (de exemplu o platformă cloud sau un host administrat), termenii acestuia pot cere să-l notifici sau să ceri permisiunea înainte de testare. Asigurarea unei astfel de autorizări din partea furnizorului este responsabilitatea ta; cu plăcere îți spunem ce intenționăm să rulăm.

7. Datele tale

Tratăm orice date întâlnim ca fiind confidențiale, colectăm doar ce e necesar pentru a demonstra o descoperire și stocăm rezultatele evaluării în siguranță. Rapoartele și dovezile sunt partajate doar cu tine. Vezi Confidențialitate.

8. Ce nu este o evaluare

O evaluare externă reflectă ce este accesibil și testabil din internet, în limitele convenite, la momentul scanării. Nu poate dovedi că nu există nicio vulnerabilitate și nu înlocuiește un program continuu sau o certificare formală. Repararea descoperirilor și verificarea reparațiilor rămân responsabilitatea ta — nivelul App Pen Test include o reverificare pentru a ajuta.

9. Contact

Întrebări despre ce se testează sau cum: hello@riskbits.net. Ionuț-Robert Sandu, Persoană Fizică Autorizată (PFA), CUI 51596898, B-dul Bucureștii Noi 136, parter, ap. 5, Sector 1, Bucharest, Romania.