扫描授权协议

本协议由您（"所有者"，即网站所有者或经所有者授权的人）与 HackGrade订立。本协议是我们服务条款的一部分。您在已验证网站的授权页面勾选两个复选框即表示接受本协议。您看到的确切文本、其版本、日期和时间、您的 IP 地址和浏览器都会被记录为证据。

深度扫描会向您的网站发送真实的测试请求。未经许可这样做可能违反以色列 1995 年《计算机法》、美国《计算机欺诈和滥用法》和英国 1990 年《计算机滥用法》等法律。本协议是使测试合法的书面许可，并规定了我们必须遵守的界限。

1. 您的声明

接受本协议即表示您确认：

• 您拥有已验证域名上的网站，或网站所有者已书面授权您由 HackGrade 这样的服务对其进行安全测试，并且您有权代表所有者接受本协议；
• 据您所知，没有任何托管合同、平台政策或其他协议禁止此类测试，或您已获得其要求的批准（部分托管和云服务商要求事先告知）；
• 您提供给我们的任何测试账户都属于该网站、专用于测试、除非您有意为之否则不具备管理员权限，且不包含真实客户的数据；
• 如果上述任何一项不再属实，您将立即告知我们并撤回本授权。

2. 范围

• 仅限已验证的主机。 我们只测试您验证过的确切主机名（例如 www.example.com），包括标准 Web 端口及其 IP 地址上最常见的 100 个 TCP 端口。其他子域名、您网站加载的第三方服务（支付页面、CDN、分析、聊天插件）以及同一服务器上的其他网站均不在测试范围内。在公开证书日志中发现的子域名会列入报告，但不会被扫描。
• 可识别的流量。 所有流量都来自我们公布的 IP 地址 185.202.223.42，用户代理为"HackGradeBot"。
• 限速限时。 每秒最多 5 个 Web 请求、每秒 10 次端口探测，每次扫描最长 25 分钟，请求总数也有上限。
• 重新检查所有权。 每次扫描前，我们都会再次检查您的验证是否仍然有效。如果无效，扫描不会运行。

3. 我们测试什么

a) 被动和配置检查（每次深度扫描）： TLS/SSL 配置；安全响应头和 Cookie；使用精选的非侵入式检测模板检查已知的暴露和错误配置；遗留在线上的敏感文件（如 .env、.git、备份和调试页面）；暴露的管理和登录页面；开放的 TCP 端口（仅连接检查）；带被动分析的简短爬取；以及 WordPress 检查，如插件版本、XML-RPC 和用户列表。

b) 安全的主动测试（每次深度扫描）： 我们向表单和参数发送无害且带唯一标记的测试输入，以发现常见弱点：SQL 和 NoSQL 注入（仅基于错误和真/假比较）、反射型跨站脚本（惰性标记）、模板注入（仅简单算术）、开放重定向、响应头和 Host 头注入、路径遍历（只查找标准系统文件的特征，不保留其内容）、通过更改记录编号进行的访问控制和 IDOR 检查、CORS、CSRF、点击劫持、暴露的 API 文档、GraphQL 内省、服务器端请求伪造（SSRF）迹象、在单个连接上通过计时检测请求走私，以及最多 3 次使用虚构凭据的登录尝试，以检查限流和账户枚举。

c) 认证测试（Pro 套餐，仅在您提供测试账户时）： 我们使用您的测试账户登录，在需要登录的页面上重复安全检查，比较该账户能看到的内容与应当能看到的内容（访问控制和权限检查），检查会话处理和退出登录，并可能在测试账户自己的资料字段中写入一个无害的标记值，随后再恢复原值。

d) 购物车和结账逻辑（Pro 套餐）： 我们在自己的会话中将商品加入购物车，尝试修改价格、数量、优惠券或总额，读取服务器计算的结果，然后清空购物车。我们在付款或"提交订单"步骤之前停止。

e) 信用卡盗刷脚本检测（Pro 套餐）： 我们清点您结账和付款页面上加载的脚本，并标记未知或已变更的第三方域名、缺失的完整性校验以及向外部主机发送数据的脚本。这是只读的；我们绝不运行或修改您的脚本。

4. 我们绝不会做的事

• 不进行拒绝服务、洪水攻击、负载或压力测试。
• 除上述 3 次登录尝试外，不猜测密码，不进行暴力破解，也绝不针对真实用户的账户。
• 不进行真实付款，不完成订单：我们绝不点击"付款"、"确认"或"提交订单"。
• 除证明弱点存在所需的最少证据外，不收集任何数据。证据摘录很短，我们会遮盖发现的密钥和个人数据。我们不下载数据库、客户记录或文件。
• 不做永久性更改：我们不删除或覆盖内容，不上传文件，不创建账户，不发表评论，不更改密码、电子邮件或地址，也不从您的网站发送电子邮件。
• 不测试已验证主机以外的任何主机，不对您的员工或用户进行社会工程。
• 除向您报告外，不将发现用于任何其他目的。

5. 可能的副作用

即使是谨慎的测试也会被察觉。您可能会注意到：

• 服务器、防火墙和安全日志中的记录，以及来自 Web 应用防火墙（WAF）、入侵检测系统或托管服务商的警报（他们可能会封锁我们的 IP）；
• 由测试输入引起的错误信息或错误通知邮件；
• 分析工具或电商后台中出现的已放弃购物车、临时会话和测试活动；
• 您提供的测试账户上的活动，例如新会话或登录通知；
• 扫描期间短暂、轻微的负载增加。

我们建议您保留最新备份，告知监控您网站的人员，并在有条件时使用预发布（staging）副本进行测试。如有意外情况发生，请通过 support@hackgrade.com 告诉我们，我们会立即停止扫描。

6. 扫描何时运行以及如何撤回

• 本授权有效期为 90 天，涵盖您在此期间启动的深度扫描以及您的套餐包含的定期扫描（每周或每月）。90 天后，或我们修改本文本时，我们会再次征求您的授权。
• 您可以随时通过关闭定期扫描、从控制面板删除网站、删除账户或写信给我们来撤回授权。此后不会启动新的扫描，并且我们会尽快停止任何正在进行的扫描。
• 撤回不影响在有效授权下已经完成的扫描。

7. 我们的承诺

我们将遵守本范围，对扫描结果保密，仅在您的账户中（以及向您分享的人）提供，按照我们隐私政策所述保护任何测试凭据，并在您或您的托管服务商要求时立即停止测试。

8. 责任

您对第 1 节中声明的真实性负责。如果这些声明不真实，且第三方（例如真正的所有者或托管服务商）因您请求的扫描向 HackGrade 提出索赔，您将承担 HackGrade 因该索赔产生的合理费用和损失，但因 HackGrade 超出本协议范围或我们的过失所造成的部分除外。我们对您的责任受服务条款中的限制约束。

9. 更高级别的测试（未启用）

以下测试不提供，并已在我们的系统中关闭。它们需要一份单独的、经明确接受的协议，带有自己的版本号和复选框，并且只有在法律审核后才会启用：

• 写入一个他人可见的测试标记（例如评论或评价）并读取回来；
• 超过 3 次登录尝试的密码策略和锁定测试；
• 在您指定的沙盒环境中使用测试卡完成付款流程；
• 超出上述无害特征范围的模板注入或文件读取测试；
• 基于计时的盲命令注入测试；
• 上传一个无害的标记文件；
• 创建一次性账户以测试注册控制；
• 通过利用特定已知漏洞进行验证；
• 向我们控制的地址触发密码重置邮件。

接受本协议并不授权进行上述任何测试。