Termos de uso da varredura de vulnerabilidades

A varredura examina um alvo como um visitante da Internet faria: lê cabeçalhos e certificados, consulta o DNS, testa métodos e redirecionamentos com valores inofensivos e, se você autorizar, verifica portas e serviços expostos. Ela não tenta adivinhar senhas, não explora falhas, não altera dados e não derruba serviços.

As requisições partem da infraestrutura do CiberLab e levam um cabeçalho (X-CiberLab-Scan) que identifica a origem, para que o dono do alvo possa reconhecê-las em seus registros.

O acesso é concedido pela administração da plataforma. Quem o recebe pode varrer apenas domínios e sites cuja posse provou (seção 3), e somente a hospedagem e os serviços ligados a esses domínios. Endereços IP e blocos de endereços só podem ser varridos por administradores da plataforma.

Antes da primeira varredura de um domínio, você publica um código no DNS (um registro TXT em _ciberlab-verify) ou em um arquivo do site (/.well-known/ciberlab-verification.txt). Só quem controla o DNS ou o site consegue fazer isso.

A prova vale por 90 dias, cobre o domínio e seus subdomínios, e precisa ser renovada depois disso. O código de um pedido não concluído expira em 7 dias. Se você deixar de controlar o domínio, remova-o da plataforma.

Cada varredura exige a declaração de que você tem autoridade sobre o alvo e de que o testará apenas em infraestrutura própria ou com autorização explícita do responsável por ela. A varredura de portas e os testes de amplificação exigem uma segunda declaração: a de que os endereços IP onde o domínio está hospedado são seus ou de quem o hospeda para você. Em hospedagem compartilhada ou atrás de uma CDN, não aceite essa opção, pois os endereços pertencem a terceiros.

Você responde pelo uso que fizer da ferramenta e por qualquer varredura feita sem a autorização do dono do alvo. O CiberLab guarda o registro de quem pediu cada varredura, quando, sobre qual alvo e de qual endereço IP, e pode fornecê-lo a autoridades e a quem comprovar ter sido alvo de um uso indevido.

• Cada pessoa pode iniciar 5 varreduras a cada 24 horas, uma de cada vez. Quando a plataforma está ocupada, a varredura espera na fila.
• É proibido usar a ferramenta contra alvos sem autorização, para tentar contornar a prova de posse, para sobrecarregar um serviço ou para coletar informação com a intenção de atacar.
• É proibido compartilhar o acesso, automatizar pedidos em volume ou revender os resultados como serviço próprio.

A varredura mostra o que se observa de fora no momento em que roda. Ela não é um teste de invasão, uma auditoria nem uma certificação. A ausência de achados não prova que o alvo é seguro, e um item que não pôde ser testado aparece como tal no relatório, nunca como seguro. Os achados de confiança média ou baixa pedem confirmação manual. O resultado é fornecido como está, sem garantia de que seja completo ou livre de erros.

Os alvos e os resultados são guardados criptografados, ficam visíveis só a você e à administração da plataforma, e são apagados 90 dias depois do término da varredura. Você pode excluí-los antes, na própria página, e baixar uma cópia na área de privacidade da conta. O tratamento dos dados segue a política de privacidade.

O CiberLab pode suspender o acesso de quem violar estes termos ou colocar a plataforma ou terceiros em risco, e pode atender a pedidos de dono de alvo que comprove um uso indevido. Estes termos podem ser atualizados, com a data no topo da página. Dúvidas ou denúncias de uso indevido: contato@ciberlab.seg.br.