הסכם הרשאת סריקה

הסכם זה הוא בינכם ("הבעלים", כלומר בעל האתר או מי שהבעלים הרשה לו) לבין HackGrade. הוא חלק מתנאי השירות שלנו. אתם מקבלים אותו כשאתם מסמנים את שתי התיבות במסך ההרשאה של אתר מאומת. הנוסח המדויק שראיתם, הגרסה שלו, התאריך והשעה, כתובת ה-IP והדפדפן שלכם נרשמים כהוכחה.

סריקות עומק שולחות בקשות בדיקה אמיתיות לאתר שלכם. ביצוע כזה בלי רשות עלול להיות אסור לפי חוקים כמו חוק המחשבים, התשנ"ה-1995, חוק ה-CFAA בארה"ב וחוק השימוש לרעה במחשבים בבריטניה מ-1990. הסכם זה הוא ההרשאה בכתב שהופכת את הבדיקה לחוקית, והוא קובע את הגבולות שעלינו לעמוד בהם.

1. ההצהרות שלכם

בקבלת ההסכם אתם מאשרים ש:

• אתם הבעלים של האתר בדומיין המאומת, או שהבעלים הרשה לכם בכתב לבדוק את אבטחתו באמצעות שירות כמו HackGrade, ויש לכם סמכות לקבל הסכם זה בשם הבעלים;
• אין חוזה אחסון, מדיניות פלטפורמה או הסכם אחר שידוע לכם שאוסר את הבדיקה, או שקיבלתם את האישור שהוא דורש (חלק מספקי האחסון והענן מבקשים הודעה מראש);
• כל חשבון בדיקה שתמסרו לנו שייך לאתר, נועד לבדיקות, אין לו הרשאות מנהל אלא אם התכוונתם לכך, ואין בו נתונים של לקוחות אמיתיים;
• תודיעו לנו מיד ותבטלו את ההרשאה אם משהו מזה יפסיק להיות נכון.

2. היקף

• רק השרת המאומת. אנחנו בודקים רק את שם השרת המדויק שאימתתם (למשל www.example.com), בפורטים הרגילים של האתר וב-100 פורטי ה-TCP הנפוצים של כתובת ה-IP שלו. תת-דומיינים אחרים, שירותי צד שלישי שהאתר טוען (דפי תשלום, CDN, סטטיסטיקה, צ'אט) ואתרים אחרים באותו שרת לא נבדקים. תת-דומיינים שנמצאים ביומני תעודות ציבוריים מוצגים בדוח אבל לא נסרקים.
• תעבורה מזוהה. כל התעבורה יוצאת מכתובת ה-IP המפורסמת שלנו 185.202.223.42 עם הסוכן "HackGradeBot".
• מהירות וזמן מוגבלים. לכל היותר 5 בקשות לשנייה, 10 בדיקות פורט לשנייה ו-25 דקות לסריקה, עם תקרה למספר הבקשות הכולל.
• בדיקת בעלות חוזרת. לפני כל סריקה אנחנו בודקים שוב שהאימות שלכם עדיין קיים. אם לא, הסריקה לא רצה.

3. מה אנחנו בודקים

א) בדיקות פסיביות ובדיקות תצורה (בכל סריקת עומק): הגדרות TLS/SSL; כותרות ועוגיות אבטחה; חשיפות ותצורות שגויות מוכרות באמצעות תבניות זיהוי נבחרות ולא פולשניות; קבצים רגישים שנשארו ברשת (כמו ‎.env, ‎.git, גיבויים ודפי דיבאג); דפי ניהול והתחברות חשופים; פורטי TCP פתוחים (בדיקת חיבור בלבד); סריקה קצרה של דפי האתר עם ניתוח פסיבי; ובדיקות וורדפרס כמו גרסאות תוספים, XML-RPC וחשיפת רשימת משתמשים.

ב) בדיקות אקטיביות בטוחות (בכל סריקת עומק): אנחנו שולחים לטפסים ולפרמטרים קלטי בדיקה לא מזיקים עם סימון ייחודי כדי לזהות חולשות נפוצות: הזרקת SQL ו-NoSQL (מבוססת שגיאות והשוואות אמת/שקר בלבד), XSS מוחזר (סימון אינרטי), הזרקת תבניות (חשבון פשוט בלבד), הפניות פתוחות, הזרקת כותרות ו-Host, מעבר נתיבים (חיפוש החתימה של קובץ מערכת סטנדרטי בלבד, בלי לשמור את תוכנו), בדיקות בקרת גישה ו-IDOR על ידי שינוי מספרי רשומות, CORS, ‏CSRF, ‏clickjacking, תיעוד API חשוף, GraphQL introspection, סימנים לזיוף בקשות בצד השרת (SSRF), זיהוי request smuggling במדידת זמנים על חיבור יחיד, ועד 3 ניסיונות התחברות עם פרטים מומצאים כדי לבדוק הגבלת קצב וחשיפת משתמשים.

ג) בדיקות מחוברות (מסלולי Pro, רק אם מסרתם חשבון בדיקה): אנחנו מתחברים עם חשבון הבדיקה וחוזרים על הבדיקות הבטוחות בדפים שמאחורי ההתחברות, משווים בין מה שהחשבון רואה לבין מה שהוא אמור לראות (בקרת גישה והרשאות), בודקים ניהול סשן והתנתקות, ועשויים להכניס ערך סימון לא מזיק לשדה בפרופיל של חשבון הבדיקה עצמו, ואז להחזיר אותו למצבו.

ד) לוגיקת עגלה ותשלום (מסלולי Pro): אנחנו מוסיפים מוצרים לעגלה בסשן שלנו, מנסים לשנות מחירים, כמויות, קופונים או סכומים, קוראים את מה שהשרת מחשב, ואז מרוקנים את העגלה. אנחנו עוצרים לפני שלב התשלום או "ביצוע ההזמנה".

ה) זיהוי סקימינג של כרטיסי אשראי (מסלולי Pro): אנחנו ממפים את הסקריפטים שנטענים בדפי הקופה והתשלום ומסמנים דומיינים לא מוכרים או שהשתנו, היעדר בדיקות שלמות וסקריפטים ששולחים מידע לשרתים זרים. זו בדיקת קריאה בלבד; לעולם איננו מריצים או משנים את הסקריפטים שלכם.

4. מה לעולם לא נעשה

• אין מניעת שירות, הצפה, בדיקות עומס או לחץ.
• אין ניחוש סיסמאות או brute force מעבר ל-3 ניסיונות ההתחברות שלמעלה, ואף פעם לא נגד חשבונות של משתמשים אמיתיים.
• אין תשלומים אמיתיים ואין הזמנות מושלמות: לעולם איננו לוחצים "לתשלום", "אישור" או "ביצוע הזמנה".
• אין איסוף מידע מעבר להוכחה המינימלית שחולשה קיימת. קטעי ההוכחה קצרים, ואנחנו מסתירים סודות ומידע אישי שאנחנו מזהים. איננו מורידים מסדי נתונים, רשומות לקוחות או קבצים.
• אין שינויים קבועים: איננו מוחקים או דורסים תוכן, מעלים קבצים, יוצרים חשבונות, מפרסמים תגובות, משנים סיסמאות, כתובות דוא"ל או כתובות, או שולחים מיילים מהאתר שלכם.
• אין בדיקה של שום שרת מלבד השרת המאומת, ואין הנדסה חברתית מול העובדים או המשתמשים שלכם.
• אין שימוש בממצאים לשום מטרה מלבד דיווח אליכם.

5. תופעות לוואי אפשריות

גם בדיקה זהירה משאירה עקבות. ייתכן שתבחינו ב:

• רשומות ביומני השרת, חומת האש והאבטחה, והתראות מחומת אש לאפליקציות (WAF), ממערכת זיהוי חדירות או מחברת האחסון (שעלולה לחסום את ה-IP שלנו);
• הודעות שגיאה או מיילי התראת שגיאה שנגרמו מקלטי הבדיקה;
• עגלות נטושות, סשנים זמניים ופעילות בדיקה בנתוני הסטטיסטיקה או בלוח הבקרה של החנות;
• פעילות בחשבון הבדיקה שמסרתם, כמו סשנים חדשים או התראות התחברות;
• עלייה קצרה וקטנה בעומס בזמן שהסריקה רצה.

אנחנו ממליצים לשמור גיבוי עדכני, לעדכן את מי שמנטר את האתר שלכם, ולהשתמש בעותק בדיקות (staging) אם יש לכם. אם קורה משהו לא צפוי, הודיעו לנו בכתובת support@hackgrade.com ונעצור את הסריקות מיד.

6. מתי סריקות רצות ואיך מבטלים

• ההרשאה תקפה ל-90 יום והיא חלה על סריקות העומק שאתם מפעילים ועל הסריקות המתוזמנות שכלולות במסלול שלכם (שבועיות או חודשיות) בתקופה זו. אחרי 90 יום, או כשאנחנו משנים את הנוסח, נבקש מכם שוב.
• אפשר לבטל בכל עת: לכבות סריקות מתוזמנות, למחוק את האתר מלוח הבקרה, למחוק את החשבון או לכתוב לנו. אחרי זה לא תתחיל אף סריקה חדשה, ונעצור סריקה שרצה בהקדם האפשרי.
• הביטול אינו משפיע על סריקות שכבר בוצעו לפי הרשאה תקפה.

7. ההתחייבויות שלנו

נישאר בתוך ההיקף הזה, נשמור את תוצאות הסריקה בסודיות ונאפשר גישה אליהן רק לחשבון שלכם (ולמי שתשתפו איתו), נגן על פרטי חשבון הבדיקה כמתואר במדיניות הפרטיות, ונפסיק לבדוק מיד אם אתם או חברת האחסון שלכם מבקשים.

8. אחריות

אתם אחראים לנכונות ההצהרות שלכם בסעיף 1. אם הן אינן נכונות וצד שלישי (למשל הבעלים האמיתי או חברת אחסון) מגיש תביעה נגד HackGrade בגלל סריקה שביקשתם, תשפו את HackGrade על העלויות וההפסדים הסבירים מאותה תביעה, למעט במידה שהם נגרמו מכך ש-HackGrade חרגה מהסכם זה או מרשלנות שלנו. האחריות שלנו כלפיכם כפופה למגבלות שבתנאי השירות.

9. בדיקות מדרג גבוה (לא פעילות)

הבדיקות הבאות אינן מוצעות ומכובות במערכת שלנו. הן ידרשו הסכם נפרד שמתקבל במפורש, עם מספר גרסה ותיבת סימון משלו, והן יופעלו רק אחרי בדיקה משפטית:

• כתיבת סימון בדיקה שנשאר גלוי לאנשים אחרים (למשל תגובה או ביקורת) וקריאתו בחזרה;
• בדיקת מדיניות סיסמאות ונעילה עם יותר מ-3 ניסיונות התחברות;
• השלמת תהליך תשלום עם כרטיס בדיקה בסביבת sandbox שתגדירו;
• בדיקות הזרקת תבניות או קריאת קבצים מעבר לחתימות הלא מזיקות שלמעלה;
• בדיקות "עיוורות" של הזרקת פקודות במדידת זמנים;
• העלאת קובץ סימון לא מזיק;
• יצירת חשבון זמני כדי לבדוק את בקרות ההרשמה;
• אימות ניצול של חולשות מוכרות ספציפיות;
• הפעלת מייל איפוס סיסמה לכתובת שבשליטתנו.

קבלת הסכם זה אינה מתירה אף אחת מהבדיקות האלה.