Bezpieczeństwo w LiveAPISec

Jak chronimy platformę

• Szyfrowanie w transmisji i w spoczynku. Cały ruch używa HTTPS z HSTS; dane dostępowe do API są szyfrowane po stronie serwera algorytmem AES-256 i nigdy nie trafiają do logów.
• Izolowane skany. Automatyczne testy uruchamiamy w izolowanym sandboxie z wyważonym tempem i twardymi limitami. Cele są odpytywane wyłącznie w ramach autoryzowanego skanu.
• Minimalne uprawnienia i ograniczone klucze. CLI używa kluczy Developer API o ograniczonym zakresie; klucze logowania wygasają po 30 dniach. Możesz je unieważnić w każdej chwili w ustawieniach.
• Weryfikacja własności. Zaawansowane i destrukcyjne testy wymagają weryfikacji domeny (DNS TXT, CNAME, plik HTTP) i zapisanej zgody.
• Nagłówki bezpieczeństwa. Publiczna witryna wysyła HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy i restrykcyjne Permissions-Policy. Publiczne strony certyfikatów luzują wyłącznie frame-ancestors, aby klienci mogli osadzać widget certyfikatu.
• Deterministyczne jądro. Detekcja jest deterministyczna i powtarzalna; AI służy do triage’u i opcjonalnych prób agentowych, nigdy jako jedyna podstawa znaleziska.

Polityka odpowiedzialnego ujawniania

Zapraszamy do zgłaszania problemów dotyczących witryny, API i CLI LiveAPISec. Prosimy:

• Wysłać e-mail na [email protected] z krokami reprodukcji i wpływem.
• Dać nam rozsądny czas na naprawę przed publicznym ujawnieniem.
• Nie uzyskiwać dostępu do danych innych klientów, nie modyfikować ich i nie wynosić.
• Nie przeprowadzać testów DoS, spamu ani inżynierii społecznej.
• Testować wyłącznie konta i projekty, których jesteś właścicielem lub do których masz zgodę.

Ta polityka nie autoryzuje testowania API ani infrastruktury osób trzecich. Skany celów klientów muszą przechodzić przez produkt i mieć zapisaną zgodę.

Zakres i ograniczenia

LiveAPISec wykonuje automatyczne testy bezpieczeństwa typu black-box w zakresie specyfikacji API i konfiguracji, które dostarczysz. To nie jest pełny audyt manualny i nie gwarantuje bezpieczeństwa. Certyfikaty opisują stan z czasu ostatniego skanu i nie stanowią certyfikacji. Zastrzeżenia znajdziesz na każdej stronie certyfikatu.