Acuerdo de autorización de análisis

Este Acuerdo se celebra entre tú (el "Propietario", es decir, el propietario del sitio web o una persona autorizada por él) y HackGrade. Forma parte de nuestros Términos del servicio. Lo aceptas al marcar las dos casillas en la pantalla de autorización de un sitio verificado. El texto exacto que viste, su versión, la fecha y la hora, tu dirección IP y tu navegador quedan registrados como prueba.

Los análisis profundos envían peticiones de prueba reales a tu sitio web. Hacerlo sin permiso podría ser ilegal según leyes como la Ley de Computadoras de Israel de 1995, la Computer Fraud and Abuse Act de EE. UU. y la Computer Misuse Act del Reino Unido de 1990. Este Acuerdo es el permiso por escrito que hace lícitas las pruebas y fija los límites que debemos respetar.

1. Tus declaraciones

Al aceptar, confirmas que:

• eres propietario del sitio web del dominio verificado, o su propietario te ha autorizado por escrito a que un servicio como HackGrade analice su seguridad, y tienes facultad para aceptar este Acuerdo en nombre del propietario;
• ningún contrato de alojamiento, política de plataforma u otro acuerdo que conozcas prohíbe estas pruebas, o has obtenido la aprobación que exija (algunos proveedores de alojamiento y nube piden aviso previo);
• cualquier cuenta de prueba que nos des pertenece al sitio, está pensada para pruebas, no tiene derechos de administrador salvo que así lo quieras y no contiene datos de clientes reales;
• nos avisarás de inmediato, y retirarás esta autorización, si algo de lo anterior deja de ser cierto.

2. Alcance

• Solo el host verificado. Probamos solo el nombre de host exacto que verificaste (por ejemplo www.example.com), en los puertos web estándar y en los 100 puertos TCP más comunes de su dirección IP. No se prueban otros subdominios, los servicios de terceros que carga tu sitio (páginas de pago, CDN, analítica, chats) ni otros sitios del mismo servidor. Los subdominios hallados en registros públicos de certificados aparecen en el informe, pero no se analizan.
• Tráfico identificable. Todo el tráfico sale de nuestra dirección IP publicada 185.202.223.42 con el agente de usuario "HackGradeBot".
• Velocidad y tiempo limitados. Como máximo 5 peticiones web por segundo, 10 sondeos de puertos por segundo y 25 minutos por análisis, con un tope en el número total de peticiones.
• Propiedad comprobada de nuevo. Antes de cada análisis comprobamos otra vez que tu verificación sigue en su sitio. Si no lo está, el análisis no se ejecuta.

3. Qué probamos

a) Comprobaciones pasivas y de configuración (en cada análisis profundo): configuración TLS/SSL; cabeceras y cookies de seguridad; exposiciones y errores de configuración conocidos mediante plantillas de detección seleccionadas y no intrusivas; archivos sensibles olvidados en línea (como .env, .git, copias de seguridad y páginas de depuración); páginas de administración y de acceso expuestas; puertos TCP abiertos (solo comprobación de conexión); un rastreo breve con análisis pasivo; y comprobaciones de WordPress como versiones de plugins, XML-RPC y listado de usuarios.

b) Pruebas activas seguras (en cada análisis profundo): enviamos a formularios y parámetros entradas de prueba inofensivas y marcadas de forma única para detectar debilidades comunes: inyección SQL y NoSQL (solo basada en errores y comparaciones verdadero/falso), cross-site scripting reflejado (un marcador inerte), inyección de plantillas (solo aritmética simple), redirecciones abiertas, inyección de cabeceras y de cabecera Host, recorrido de rutas (buscando solo la firma de un archivo de sistema estándar, sin guardar su contenido), comprobaciones de control de acceso e IDOR cambiando números de registro, CORS, CSRF, clickjacking, documentación de API expuesta, introspección de GraphQL, indicios de falsificación de peticiones del lado del servidor (SSRF), detección de request smuggling por tiempos en una sola conexión y hasta 3 intentos de inicio de sesión con credenciales inventadas para comprobar la limitación de intentos y la enumeración de cuentas.

c) Pruebas autenticadas (planes Pro, solo si nos das una cuenta de prueba): iniciamos sesión con tu cuenta de prueba y repetimos las comprobaciones seguras en las páginas tras el inicio de sesión, comparamos lo que la cuenta puede ver con lo que debería ver (control de acceso y privilegios), comprobamos la gestión de sesiones y el cierre de sesión, y podemos poner un valor marcador inofensivo en un campo del propio perfil de la cuenta de prueba, que después restauramos.

d) Lógica del carrito y del pago (planes Pro): añadimos productos a un carrito en nuestra propia sesión, intentamos cambiar precios, cantidades, cupones o totales, leemos lo que calcula el servidor y después vaciamos el carrito. Nos detenemos antes del paso de pago o de "realizar pedido".

e) Detección de skimming de tarjetas (planes Pro): inventariamos los scripts cargados en tus páginas de compra y de pago y señalamos dominios de terceros desconocidos o cambiados, la falta de controles de integridad y los scripts que envían datos a hosts ajenos. Es solo lectura; nunca ejecutamos ni modificamos tus scripts.

4. Lo que nunca haremos

• Nada de denegación de servicio, inundación ni pruebas de carga o estrés.
• Nada de adivinar contraseñas ni fuerza bruta más allá de los 3 intentos de inicio de sesión indicados, y nunca contra cuentas de usuarios reales.
• Ningún pago real ni pedido completado: nunca pulsamos "pagar", "confirmar" ni "realizar pedido".
• No recogemos datos más allá de la prueba mínima de que existe una debilidad. Los fragmentos de prueba son breves y ocultamos los secretos y datos personales que detectamos. No descargamos bases de datos, registros de clientes ni archivos.
• Ningún cambio permanente: no borramos ni sobrescribimos contenido, no subimos archivos, no creamos cuentas, no publicamos comentarios, no cambiamos contraseñas, correos ni direcciones y no enviamos correos desde tu sitio.
• No probamos ningún host distinto del verificado y no hacemos ingeniería social con tu personal ni con tus usuarios.
• No usamos los hallazgos para nada que no sea informarte a ti.

5. Posibles efectos secundarios

Incluso unas pruebas cuidadosas se notan. Puedes ver:

• entradas en los registros de tu servidor, cortafuegos y seguridad, y alertas de un firewall de aplicaciones web, de un sistema de detección de intrusiones o de tu proveedor de alojamiento (que puede bloquear nuestra IP);
• mensajes de error o correos de aviso de error provocados por las entradas de prueba;
• carritos abandonados, sesiones temporales y actividad de prueba en tu analítica o en el panel de tu tienda;
• actividad en la cuenta de prueba que nos diste, como nuevas sesiones o avisos de inicio de sesión;
• un aumento de carga breve y pequeño mientras dura el análisis.

Te recomendamos tener una copia de seguridad reciente, avisar a quien vigile tu sitio y usar una copia de pruebas (staging) si la tienes. Si ocurre algo inesperado, avísanos en support@hackgrade.com y detendremos los análisis de inmediato.

6. Cuándo se ejecutan los análisis y cómo retirar la autorización

• Esta autorización dura 90 días y cubre los análisis profundos que inicies y los análisis programados que incluya tu plan (semanales o mensuales) durante ese periodo. Pasados 90 días, o cuando cambiemos este texto, te la pediremos de nuevo.
• Puedes retirarla en cualquier momento desactivando los análisis programados, eliminando el sitio de tu panel, eliminando tu cuenta o escribiéndonos. Después no empezará ningún análisis nuevo y detendremos cualquier análisis en curso tan pronto como sea posible.
• La retirada no afecta a los análisis ya realizados con una autorización válida.

7. Nuestros compromisos

Nos mantendremos dentro de este alcance, guardaremos la confidencialidad de los resultados y solo serán accesibles desde tu cuenta (y para quienes tú los compartas), protegeremos las credenciales de prueba como se describe en nuestra Política de privacidad y dejaremos de probar en cuanto tú o tu proveedor de alojamiento lo pidáis.

8. Responsabilidad

Eres responsable de la veracidad de tus declaraciones de la sección 1. Si no son ciertas y un tercero (por ejemplo, el verdadero propietario o un proveedor de alojamiento) reclama contra HackGrade por un análisis que solicitaste, cubrirás los costes y pérdidas razonables de HackGrade derivados de esa reclamación, salvo en la medida en que se deban a que HackGrade fue más allá de este Acuerdo o a nuestra negligencia. Nuestra responsabilidad frente a ti está sujeta a los límites de los Términos del servicio.

9. Pruebas de nivel superior (no activas)

Las siguientes pruebas no se ofrecen y están desactivadas en nuestro sistema. Requerirían un acuerdo separado, aceptado expresamente, con su propio número de versión y su propia casilla, y solo se activarán tras una revisión jurídica:

• escribir un marcador de prueba que quede visible para otras personas (por ejemplo, un comentario o una reseña) y volver a leerlo;
• pruebas de política de contraseñas y de bloqueo con más de 3 intentos de inicio de sesión;
• completar un flujo de pago con una tarjeta de prueba en un entorno sandbox que tú designes;
• pruebas de inyección de plantillas o de lectura de archivos más allá de las firmas inofensivas descritas arriba;
• pruebas de inyección de comandos a ciegas por tiempos;
• subir un archivo marcador inofensivo;
• crear una cuenta desechable para probar los controles de registro;
• verificación mediante explotación de vulnerabilidades conocidas concretas;
• provocar un correo de restablecimiento de contraseña a una dirección que controlemos.

Aceptar este Acuerdo no autoriza ninguna de estas pruebas.