Проверка полномочий
Мы проверяем, что подписавший разрешение вправе его подписывать: коммерческий регистр, принадлежность доменов, подтверждение через официальный канал.
Активы третьих лиц
Системы хостинга, облачных и SaaS-провайдеров тестируются только в рамках опубликованных ими правил тестирования или с их согласия.
Запросы, которые мы отклоняем
Тестирование систем, не принадлежащих заявителю, восстановление чужих учётных записей, слежка и ответные действия. Такие запросы отклоняются.
Что можно проверить, прежде чем нам доверять
Наступательную безопасность покупают на доверии, а доверие должно опираться на то, что можно проверить. Здесь сказано, как мы работаем с разрешениями, вашими данными и собственной безопасностью, и прямо названо то, чего мы не заявляем.
02Ваши данные
Как мы обращаемся с данными проекта
Минимальный сбор
Мы фиксируем то, что доказывает находку, и ничего сверх этого. Персональные данные в доказательствах маскируются везде, где доказательство при этом сохраняется.
Шифрование
Данные проекта хранятся в зашифрованном виде. Отчёты и учётные данные передаются по заранее согласованному защищённому каналу.
Доступ
Доступ к данным проекта есть только у специалистов, назначенных на этот проект.
Срок хранения
Рабочие данные уничтожаются через 30 дней после закрытия проекта. Отчёт хранится столько, сколько указано в договоре.
Конфиденциальность
Заказчики не называются, отчёты не публикуются без письменного согласия.
Формы этого сайта
Заявка, отправленная через форму этого сайта, хранится 365 дней и затем удаляется автоматически.
03Этот сайт
Безопасность сайта, который вы читаете
Без трекеров
Никаких рекламных и аналитических cookie и никаких сторонних скриптов, кроме проверки форм от злоупотреблений.
Строгая политика содержимого
Content Security Policy без встроенного кода, HSTS и заголовки изоляции в каждом ответе.
Проверка от злоупотреблений
Формы защищает Cloudflare Turnstile. Он запускается, когда вы начинаете заполнять форму или отправляете её, не раньше.
Без хранения адресов
IP-адрес того, кто отправляет форму, хранится только в виде хеша с ключом и используется только для ограничения частоты отправок.
security.txt
Об уязвимостях этого сайта можно сообщить так, как описано в security.txt и в нашей политике раскрытия.
Работает без скриптов
Любую страницу можно прочитать и пройти по навигации с отключённым JavaScript. Он нужен только формам.
security.txtРаскрытие уязвимостейПолитика конфиденциальности
04Политика AI
Как мы используем AI и как не используем
Проверяют люди
Результаты работы инструментов и моделей проверяет специалист до того, как они попадут в отчёт.
Данные заказчика не уходят в публичные сервисы
Код, данные и находки заказчика никогда не передаются в публичные AI-сервисы.
Без обучения на данных заказчика
Ничто из проекта не используется для обучения моделей.
Прозрачность
Если в проекте используются инструменты с AI, это указано в предложении.
05Официальные каналы
Как убедиться, что это мы
Компании по безопасности подделывают. Эти правила помогут отличить.
- Мы отвечаем на заявки только с каналов, перечисленных на этой странице.
- В первом ответе мы никогда не просим оплату, пароли или удалённый доступ.
- Мы никогда не пишем компаниям без запроса с сообщением об уязвимости и требованием денег. Тот, кто делает это от нашего имени, — не мы.
- У каждой заявки есть номер вида REQ-XXXX-XXXX. Называйте его и просите назвать его нас.
06Чего мы не заявляем
Никаких обещаний, которые нельзя выполнить
- Мы не обещаем найти все уязвимости. Тест ограничен временем и объёмом, и в отчёте указано, что было охвачено.
- Мы не обещаем, что проверенную систему невозможно взломать.
- Мы не заявляем об одобрении со стороны OWASP, MITRE, NIST, FIRST или какой-либо площадки. Мы следуем их открытым стандартам.
- Мы не показываем логотипы заказчиков, сертификатов и партнёров, которые нельзя проверить.
07Заявка
Расскажите, что нужно проверить
- Проверка сайта — бесплатно
- Ответ в течение 1 рабочего дня
- NDA до передачи технических деталей
- Фиксированная стоимость платных проектов
- Без обязательств
Заявка принята
Номер заявки
Сохраните номер: мы называем его во всей дальнейшей переписке с вами.
Что дальше
- Менеджер изучит заявку и ответит в течение 1 рабочего дня.
- Согласуем объём работ, правила проведения и защищённый канал для чувствительных материалов.
- Вы получите предложение: метод, график и фиксированная стоимость. Для бесплатной проверки сайта — разрешение на подпись.
В первом ответе мы никогда не просим оплату, пароли или удалённый доступ.