Accord d’autorisation d’analyse

Le présent Accord est conclu entre vous (le « Propriétaire », c’est-à-dire le propriétaire du site web ou une personne autorisée par lui) et HackGrade. Il fait partie de nos Conditions d’utilisation. Vous l’acceptez en cochant les deux cases de l’écran d’autorisation d’un site vérifié. Le texte exact que vous avez vu, sa version, la date et l’heure, votre adresse IP et votre navigateur sont enregistrés à titre de preuve.

Les analyses approfondies envoient de vraies requêtes de test à votre site. Le faire sans autorisation pourrait être illégal au regard de lois comme la loi israélienne sur l’informatique de 1995, le Computer Fraud and Abuse Act américain et le Computer Misuse Act britannique de 1990. Cet Accord est l’autorisation écrite qui rend les tests licites, et il fixe les limites que nous devons respecter.

1. Vos déclarations

En acceptant, vous confirmez que :

• vous êtes propriétaire du site du domaine vérifié, ou son propriétaire vous a autorisé par écrit à en faire tester la sécurité par un service tel que HackGrade, et vous avez le pouvoir d’accepter cet Accord au nom du propriétaire ;
• aucun contrat d’hébergement, aucune politique de plateforme ni aucun autre accord à votre connaissance n’interdit ces tests, ou vous avez obtenu l’accord requis (certains hébergeurs et fournisseurs cloud demandent à être prévenus) ;
• tout compte de test que vous nous confiez appartient au site, est destiné aux tests, n’a pas de droits d’administrateur sauf si vous le voulez, et ne contient pas de données de vrais clients ;
• vous nous préviendrez immédiatement, et retirerez cette autorisation, si l’une de ces affirmations cesse d’être vraie.

2. Périmètre

• Uniquement l’hôte vérifié. Nous testons uniquement le nom d’hôte exact que vous avez vérifié (par exemple www.example.com), sur les ports web standard et les 100 ports TCP les plus courants de son adresse IP. Les autres sous-domaines, les services tiers chargés par votre site (pages de paiement, CDN, statistiques, chat) et les autres sites du même serveur ne sont pas testés. Les sous-domaines trouvés dans les journaux publics de certificats figurent dans le rapport mais ne sont pas analysés.
• Trafic identifiable. Tout le trafic provient de notre adresse IP publiée 185.202.223.42 avec l’agent utilisateur « HackGradeBot ».
• Vitesse et durée limitées. Au plus 5 requêtes web par seconde, 10 sondes de ports par seconde et 25 minutes par analyse, avec un plafond du nombre total de requêtes.
• Propriété revérifiée. Avant chaque analyse, nous vérifions à nouveau que votre vérification est toujours en place. Sinon, l’analyse ne démarre pas.

3. Ce que nous testons

a) Contrôles passifs et de configuration (à chaque analyse approfondie) : configuration TLS/SSL ; en-têtes et cookies de sécurité ; expositions et erreurs de configuration connues, à l’aide de modèles de détection sélectionnés et non intrusifs ; fichiers sensibles laissés en ligne (comme .env, .git, sauvegardes et pages de débogage) ; pages d’administration et de connexion exposées ; ports TCP ouverts (simple test de connexion) ; une courte exploration avec analyse passive ; et contrôles WordPress comme les versions des extensions, XML-RPC et la liste des utilisateurs.

b) Tests actifs sûrs (à chaque analyse approfondie) : nous envoyons aux formulaires et aux paramètres des entrées de test inoffensives et marquées de façon unique pour détecter des failles courantes : injection SQL et NoSQL (uniquement par les erreurs et par comparaisons vrai/faux), cross-site scripting réfléchi (un marqueur inerte), injection de modèles (arithmétique simple uniquement), redirections ouvertes, injection d’en-têtes et d’en-tête Host, traversée de répertoires (en cherchant uniquement la signature d’un fichier système standard, sans en conserver le contenu), contrôles d’accès et IDOR en changeant des numéros d’enregistrement, CORS, CSRF, clickjacking, documentation d’API exposée, introspection GraphQL, indices de falsification de requêtes côté serveur (SSRF), détection de request smuggling par mesure de temps sur une seule connexion, et jusqu’à 3 tentatives de connexion avec des identifiants inventés pour vérifier la limitation des tentatives et l’énumération de comptes.

c) Tests authentifiés (offres Pro, uniquement si vous fournissez un compte de test) : nous nous connectons avec votre compte de test et répétons les contrôles sûrs sur les pages situées derrière la connexion, comparons ce que le compte peut voir avec ce qu’il devrait voir (contrôle d’accès et privilèges), vérifions la gestion des sessions et la déconnexion, et pouvons placer une valeur marqueur inoffensive dans un champ du propre profil du compte de test, que nous rétablissons ensuite.

d) Logique du panier et du paiement (offres Pro) : nous ajoutons des produits à un panier dans notre propre session, essayons de modifier prix, quantités, codes promo ou totaux, relisons ce que calcule le serveur, puis vidons le panier. Nous nous arrêtons avant l’étape de paiement ou de « validation de la commande ».

e) Détection de skimming de cartes (offres Pro) : nous inventorions les scripts chargés sur vos pages de commande et de paiement et signalons les domaines tiers inconnus ou modifiés, l’absence de contrôles d’intégrité et les scripts qui envoient des données vers des hôtes externes. C’est en lecture seule ; nous n’exécutons ni ne modifions jamais vos scripts.

4. Ce que nous ne ferons jamais

• Aucun déni de service, aucune inondation, aucun test de charge ou de stress.
• Aucune devinette de mots de passe ni force brute au-delà des 3 tentatives de connexion ci-dessus, et jamais contre les comptes de vrais utilisateurs.
• Aucun paiement réel ni aucune commande finalisée : nous n’appuyons jamais sur « payer », « confirmer » ou « commander ».
• Aucune collecte de données au-delà de la preuve minimale qu’une faille existe. Les extraits de preuve sont courts et nous masquons les secrets et données personnelles repérés. Nous ne téléchargeons ni bases de données, ni fichiers clients, ni fichiers.
• Aucune modification permanente : nous ne supprimons ni n’écrasons de contenu, ne téléversons pas de fichiers, ne créons pas de comptes, ne publions pas de commentaires, ne changeons ni mots de passe, ni e-mails, ni adresses, et n’envoyons pas d’e-mails depuis votre site.
• Aucun test d’un autre hôte que l’hôte vérifié, et aucune ingénierie sociale envers votre personnel ou vos utilisateurs.
• Aucune utilisation des constats à d’autres fins que de vous en rendre compte.

5. Effets secondaires possibles

Même des tests prudents se remarquent. Vous pourriez constater :

• des entrées dans les journaux de votre serveur, de votre pare-feu et de sécurité, et des alertes d’un pare-feu applicatif (WAF), d’un système de détection d’intrusion ou de votre hébergeur (qui peut bloquer notre IP) ;
• des messages d’erreur ou des e-mails de notification d’erreur provoqués par les entrées de test ;
• des paniers abandonnés, des sessions temporaires et une activité de test dans vos statistiques ou votre tableau de bord e-commerce ;
• de l’activité sur le compte de test fourni, comme de nouvelles sessions ou des notifications de connexion ;
• une hausse de charge brève et faible pendant l’analyse.

Nous vous recommandons de disposer d’une sauvegarde récente, de prévenir les personnes qui surveillent votre site et d’utiliser une copie de préproduction (staging) si vous en avez une. Si quelque chose d’inattendu se produit, prévenez-nous à support@hackgrade.com et nous arrêterons immédiatement les analyses.

6. Quand les analyses ont lieu et comment retirer l’autorisation

• Cette autorisation vaut 90 jours et couvre les analyses approfondies que vous lancez ainsi que les analyses programmées incluses dans votre offre (hebdomadaires ou mensuelles) pendant cette période. Après 90 jours, ou lorsque nous modifions ce texte, nous vous la redemandons.
• Vous pouvez la retirer à tout moment en désactivant les analyses programmées, en supprimant le site de votre tableau de bord, en supprimant votre compte ou en nous écrivant. Aucune nouvelle analyse ne démarre ensuite et nous arrêtons toute analyse en cours dès que possible.
• Le retrait n’affecte pas les analyses déjà effectuées sous une autorisation valide.

7. Nos engagements

Nous resterons dans ce périmètre, garderons les résultats confidentiels et accessibles uniquement depuis votre compte (et aux personnes avec qui vous les partagez), protégerons les identifiants de test comme décrit dans notre Politique de confidentialité, et cesserons les tests sans délai si vous ou votre hébergeur le demandez.

8. Responsabilité

Vous êtes responsable de l’exactitude de vos déclarations de la section 1. Si elles sont inexactes et qu’un tiers (par exemple le véritable propriétaire ou un hébergeur) formule une réclamation contre HackGrade à cause d’une analyse que vous avez demandée, vous prendrez en charge les coûts et pertes raisonnables de HackGrade liés à cette réclamation, sauf dans la mesure où ils résultent d’un dépassement de cet Accord par HackGrade ou de notre négligence. Notre responsabilité envers vous est soumise aux limites prévues par les Conditions d’utilisation.

9. Tests de niveau supérieur (non actifs)

Les tests suivants ne sont pas proposés et sont désactivés dans notre système. Ils nécessiteraient un accord distinct, accepté expressément, avec son propre numéro de version et sa propre case à cocher, et ne seront activés qu’après un examen juridique :

• écrire un marqueur de test qui reste visible par d’autres personnes (par exemple un commentaire ou un avis) et le relire ;
• tests de politique de mots de passe et de verrouillage avec plus de 3 tentatives de connexion ;
• finaliser un parcours de paiement avec une carte de test dans un environnement sandbox que vous désignez ;
• tests d’injection de modèles ou de lecture de fichiers au-delà des signatures inoffensives décrites ci-dessus ;
• tests d’injection de commandes à l’aveugle par mesure de temps ;
• téléversement d’un fichier marqueur inoffensif ;
• création d’un compte jetable pour tester les contrôles d’inscription ;
• vérification par exploitation de vulnérabilités connues précises ;
• déclenchement d’un e-mail de réinitialisation de mot de passe vers une adresse que nous contrôlons.

L’acceptation du présent Accord n’autorise aucun de ces tests.