Дозвіл на тестування безпеки й правила

1. Навіщо дозвіл

Тестування системи на вразливості без дозволу її власника може бути правопорушенням. Тому Виконавець тестує лише системи, які Замовник дозволив цим документом. Замовник приймає його у своєму проєкті перед початком тестування на вразливості — для кожного обсягу; запис показує, хто прийняв, коли й для яких систем.

2. Хто дозволяє

Особа, яка приймає дозвіл, підтверджує, що Замовник володіє системами в обсязі чи контролює їх або має письмовий дозвіл їхнього власника, і що тестування дозволене правилами кожного хостингу, хмарного провайдера чи платформи (деякі тарифи, як-от Vercel Hobby, його забороняють). Замовник відповідає за те, щоб дозволяти лише ті системи, які має право дозволити.

3. Обсяг

В обсязі — лише адреси застосунку, кінцеві точки API й середовища з тест-плану, які тестують тестовими акаунтами Замовника, бажано в тестовому середовищі. Сторонні сервіси, якими користується застосунок, — платіжні, поштові, сервіси входу — поза обсягом, крім того, як їх використовує застосунок Замовника.

4. Вікно тестування й контакти

Тестування — у робочі дні в межах вікна з тест-плану, за київським часом. Замовник називає в чаті проєкту контакт для термінових питань. Будь-яка сторона може будь-коли призупинити тестування, написавши в чат.

5. Дозволені й заборонені методи

Дозволено: ручне тестування контролю доступу й чужих даних, входу й сесій, обробки введення, логіки оплати тестовими картками, відкритих ключів і налаштувань, адмінки й API; автоматичне сканування з помірною частотою.

Заборонено: атаки на відмову в обслуговуванні й навантажувальне тестування; соціальна інженерія й фішинг; фізичний доступ; повідомлення справжнім користувачам; доступ до справжніх даних чи їх зміна понад потрібне, щоб показати знахідку; збереження копій справжніх даних; перехід до систем поза обсягом.

6. Дані й знахідки

Якщо тестування відкриває справжні персональні чи конфіденційні дані, Виконавець іде не далі, ніж потрібно, щоб довести знахідку, не зберігає копій і повідомляє Замовника того ж робочого дня. Про критичні знахідки пишемо в чат того ж робочого дня. Усі знахідки конфіденційні й передаються лише Замовнику.

7. Кінець дозволу

Дозвіл закінчується, коли завершується вікно з тест-плану або коли Замовник відкликає його в чаті. Після цього Виконавець видаляє тестові доступи протягом 14 днів. Ця редакція діє з 24 жовтня 2026 року.