Acordo de Autorização de Análise

Este Acordo é celebrado entre você (o "Proprietário", ou seja, o proprietário do site ou uma pessoa autorizada por ele) e HackGrade. Ele faz parte dos nossos Termos de Serviço. Você o aceita marcando as duas caixas na tela de autorização de um site verificado. O texto exato que você viu, sua versão, a data e a hora, seu endereço IP e seu navegador são registrados como prova.

As análises profundas enviam requisições de teste reais ao seu site. Fazer isso sem permissão pode ser ilegal segundo leis como a Lei de Informática de Israel de 1995, o Computer Fraud and Abuse Act dos EUA e o Computer Misuse Act do Reino Unido de 1990. Este Acordo é a permissão por escrito que torna os testes lícitos e define os limites que devemos respeitar.

1. Suas declarações

Ao aceitar, você confirma que:

• você é proprietário do site no domínio verificado, ou o proprietário autorizou você por escrito a ter a segurança dele testada por um serviço como a HackGrade, e você tem poderes para aceitar este Acordo em nome do proprietário;
• nenhum contrato de hospedagem, política de plataforma ou outro acordo de que você tenha conhecimento proíbe estes testes, ou você obteve a aprovação exigida (alguns provedores de hospedagem e de nuvem pedem aviso prévio);
• qualquer conta de teste que você nos fornecer pertence ao site, destina-se a testes, não tem privilégios de administrador a menos que você queira e não contém dados de clientes reais;
• você nos avisará imediatamente, e retirará esta autorização, se alguma dessas afirmações deixar de ser verdadeira.

2. Escopo

• Apenas o host verificado. Testamos apenas o nome de host exato que você verificou (por exemplo www.example.com), nas portas web padrão e nas 100 portas TCP mais comuns do seu endereço IP. Outros subdomínios, serviços de terceiros que seu site carrega (páginas de pagamento, CDNs, análises, chat) e outros sites no mesmo servidor não são testados. Os subdomínios encontrados em logs públicos de certificados são listados no relatório, mas não analisados.
• Tráfego identificável. Todo o tráfego vem do nosso IP publicado 185.202.223.42 com o user agent "HackGradeBot".
• Velocidade e tempo limitados. No máximo 5 requisições web por segundo, 10 sondagens de porta por segundo e 25 minutos por análise, com um limite no número total de requisições.
• Propriedade verificada novamente. Antes de cada análise, verificamos de novo se sua verificação continua ativa. Se não estiver, a análise não é executada.

3. O que testamos

a) Verificações passivas e de configuração (em toda análise profunda): configuração TLS/SSL; cabeçalhos e cookies de segurança; exposições e configurações incorretas conhecidas, usando modelos de detecção selecionados e não intrusivos; arquivos sensíveis deixados online (como .env, .git, backups e páginas de depuração); páginas de administração e login expostas; portas TCP abertas (apenas teste de conexão); um rastreamento curto com análise passiva; e verificações de WordPress como versões de plugins, XML-RPC e listagem de usuários.

b) Testes ativos seguros (em toda análise profunda): enviamos a formulários e parâmetros entradas de teste inofensivas e marcadas de forma única para detectar falhas comuns: injeção SQL e NoSQL (apenas por erros e comparações verdadeiro/falso), cross-site scripting refletido (um marcador inerte), injeção de templates (apenas aritmética simples), redirecionamentos abertos, injeção de cabeçalhos e do cabeçalho Host, path traversal (procurando apenas a assinatura de um arquivo padrão do sistema, sem guardar seu conteúdo), verificações de controle de acesso e IDOR alterando números de registros, CORS, CSRF, clickjacking, documentação de API exposta, introspecção GraphQL, indícios de falsificação de requisições do lado do servidor (SSRF), detecção de request smuggling por tempo de resposta em uma única conexão e até 3 tentativas de login com credenciais inventadas para verificar a limitação de tentativas e a enumeração de contas.

c) Testes autenticados (planos Pro, apenas se você fornecer uma conta de teste): entramos com sua conta de teste e repetimos as verificações seguras nas páginas que exigem login, comparamos o que a conta consegue ver com o que deveria ver (controle de acesso e privilégios), verificamos o gerenciamento de sessões e o logout, e podemos colocar um valor marcador inofensivo em um campo do próprio perfil da conta de teste, que depois restauramos.

d) Lógica do carrinho e do checkout (planos Pro): adicionamos produtos a um carrinho na nossa própria sessão, tentamos alterar preços, quantidades, cupons ou totais, lemos o que o servidor calcula e depois esvaziamos o carrinho. Paramos antes da etapa de pagamento ou de "finalizar pedido".

e) Detecção de skimming de cartões (planos Pro): inventariamos os scripts carregados nas suas páginas de checkout e pagamento e sinalizamos domínios de terceiros desconhecidos ou alterados, ausência de verificações de integridade e scripts que enviam dados para hosts externos. É somente leitura; nunca executamos nem modificamos seus scripts.

4. O que nunca faremos

• Nenhuma negação de serviço, inundação, teste de carga ou de estresse.
• Nenhuma tentativa de adivinhar senhas nem força bruta além das 3 tentativas de login acima, e nunca contra contas de usuários reais.
• Nenhum pagamento real nem pedido concluído: nunca clicamos em "pagar", "confirmar" ou "finalizar pedido".
• Nenhuma coleta de dados além da prova mínima de que existe uma falha. Os trechos de evidência são curtos e ocultamos segredos e dados pessoais que identificamos. Não baixamos bancos de dados, registros de clientes nem arquivos.
• Nenhuma alteração permanente: não excluímos nem sobrescrevemos conteúdo, não enviamos arquivos, não criamos contas, não publicamos comentários, não alteramos senhas, e-mails ou endereços e não enviamos e-mails a partir do seu site.
• Nenhum teste em outro host além do verificado, e nenhuma engenharia social contra sua equipe ou seus usuários.
• Nenhum uso das conclusões para outro fim que não seja informar você.

5. Possíveis efeitos colaterais

Mesmo testes cuidadosos são perceptíveis. Você pode notar:

• entradas nos logs do servidor, do firewall e de segurança, e alertas de um firewall de aplicação web (WAF), de um sistema de detecção de intrusão ou do seu provedor de hospedagem (que pode bloquear nosso IP);
• mensagens de erro ou e-mails de notificação de erro gerados pelas entradas de teste;
• carrinhos abandonados, sessões temporárias e atividade de teste nas suas análises ou no painel da loja;
• atividade na conta de teste fornecida, como novas sessões ou notificações de login;
• um aumento de carga pequeno e breve durante a análise.

Recomendamos ter um backup recente, avisar quem monitora seu site e usar uma cópia de staging para os testes, se tiver uma. Se algo inesperado acontecer, avise-nos em support@hackgrade.com e interromperemos as análises imediatamente.

6. Quando as análises são executadas e como retirar a autorização

• Esta autorização vale por 90 dias e cobre as análises profundas que você iniciar e as análises agendadas incluídas no seu plano (semanais ou mensais) durante esse período. Após 90 dias, ou quando alterarmos este texto, pediremos novamente.
• Você pode retirá-la a qualquer momento desativando as análises agendadas, excluindo o site do painel, excluindo sua conta ou escrevendo para nós. Depois disso nenhuma nova análise começa, e interrompemos qualquer análise em andamento assim que possível.
• A retirada não afeta as análises já realizadas com uma autorização válida.

7. Nossos compromissos

Permaneceremos dentro deste escopo, manteremos os resultados confidenciais e disponíveis apenas na sua conta (e para as pessoas com quem você os compartilhar), protegeremos as credenciais de teste conforme descrito na nossa Política de Privacidade e interromperemos os testes prontamente se você ou seu provedor de hospedagem pedirem.

8. Responsabilidade

Você é responsável pela veracidade das suas declarações na seção 1. Se não forem verdadeiras e um terceiro (por exemplo, o verdadeiro proprietário ou um provedor de hospedagem) fizer uma reclamação contra a HackGrade por causa de uma análise que você solicitou, você arcará com os custos e perdas razoáveis da HackGrade decorrentes dessa reclamação, exceto na medida em que sejam causados pelo fato de a HackGrade ter ultrapassado este Acordo ou por negligência nossa. Nossa responsabilidade perante você está sujeita aos limites dos Termos de Serviço.

9. Testes de nível superior (não ativos)

Os testes a seguir não são oferecidos e estão desativados no nosso sistema. Eles exigiriam um acordo separado, aceito expressamente, com número de versão e caixa de seleção próprios, e só serão ativados após revisão jurídica:

• gravar um marcador de teste que fique visível para outras pessoas (por exemplo, um comentário ou uma avaliação) e lê-lo de volta;
• testes de política de senhas e de bloqueio com mais de 3 tentativas de login;
• concluir um fluxo de pagamento com um cartão de teste em um ambiente sandbox indicado por você;
• testes de injeção de templates ou de leitura de arquivos além das assinaturas inofensivas descritas acima;
• testes cegos de injeção de comandos baseados em tempo;
• envio de um arquivo marcador inofensivo;
• criação de uma conta descartável para testar os controles de cadastro;
• verificação por exploração de vulnerabilidades conhecidas específicas;
• disparo de um e-mail de redefinição de senha para um endereço que controlamos.

A aceitação deste Acordo não autoriza nenhum desses testes.