תנאי שימוש ומדיניות שימוש מותר

ברוכים הבאים ל-ANVI Security Check ("השירות"). השירות מופעל על-ידי אייס קודיט בע"מ (EYESE CODDIT LTD), ח.פ. 516169158 ("החברה", "ANVI", "אנחנו").

השימוש באתר, במערכת, בסורק האבטחה, בדוחות, בממשקי API, בכלי הניתוח ובכל שירות נלווה כפוף לתנאים שלהלן. השימוש בשירות מהווה אישור לכך שקראת את תנאי השימוש, הבנת אותם והסכמת להם. אם אינך מסכים לתנאים – אין להשתמש בשירות.

1. מטרת השירות

ANVI Security Check הוא כלי אוטומטי המסייע בזיהוי אינדיקציות אפשריות לסיכוני אבטחה, חולשות, חשיפות מידע, הגדרות שגויות ובעיות אבטחה אחרות באתרים, אפליקציות ושירותים דיגיטליים.

השירות עשוי, בין היתר, לבצע:

• ניתוח מידע הזמין לציבור
• מיפוי עמודים ומשאבים
• בדיקת הגדרות HTTPS ו-TLS
• בדיקת HTTP Security Headers
• בדיקת Cookies
• בדיקות CORS
• זיהוי טכנולוגיות
• איתור משאבים או ממשקים החשופים לציבור
• ניתוח קוד JavaScript ציבורי
• איתור אינדיקציות אפשריות למפתחות, Tokens או מידע רגיש שנחשף
• בדיקת רכיבים מול מאגרי חולשות ידועות
• בדיקות אבטחה אוטומטיות נוספות

השירות נועד למטרות הגנתיות, חוקיות ומורשות בלבד.

2. השירות אינו בדיקת חדירות מלאה

אלא אם צוין במפורש אחרת בהסכם נפרד ובכתב, השימוש ב-ANVI Security Check אינו מהווה Penetration Test, ביקורת אבטחת מידע מלאה, Code Review, אישור תאימות, הסמכת אבטחה או התחייבות לכך שהמערכת שנבדקה מאובטחת.

תוצאת סריקה, לרבות ציון של 100/100, אינה מהווה אישור כי האתר, המערכת או השירות נקיים מחולשות אבטחה. השירות בודק רק את הבדיקות והמשאבים שנכללו בסריקה הספציפית ובתנאים שהיו קיימים במועד הבדיקה.

3. הרשאה לסריקה

המשתמש מצהיר ומתחייב כי ביחס לכל אתר, דומיין, אפליקציה, כתובת IP, API או מערכת שהוא מזין לשירות: הוא הבעלים החוקי שלהם; או שהוא מחזיק בהרשאה מפורשת ותקפה מבעל המערכת לבצע את הבדיקות הרלוונטיות.

אין להזין לשירות אתר או מערכת של צד שלישי ללא הרשאה מתאימה. עצם העובדה שאתר נגיש לציבור אינה מהווה בהכרח הרשאה לבצע בו בדיקות אבטחה. החברה רשאית לדרוש אימות בעלות או הרשאה לפני ביצוע בדיקות מסוימות.

4. הצהרת המשתמש לפני סריקה

לפני התחלת סריקה המשתמש עשוי להידרש לאשר: "אני מאשר כי אני בעל האתר/המערכת או שקיבלתי הרשאה מפורשת לבצע בהם בדיקת אבטחה, וכי אשתמש בשירות למטרות חוקיות והגנתיות בלבד." אין לבצע סריקה ללא אישור הצהרה זו כאשר היא מוצגת.

5. שימושים אסורים

חל איסור מוחלט להשתמש בשירות, בממצאיו או במידע שהופק באמצעותו לצורך:

• חדירה בלתי מורשית למחשב או למערכת
• ניסיון לעקוף מנגנוני אבטחה
• ניצול חולשת אבטחה ללא הרשאה
• גניבת מידע
• גניבת Credentials, Tokens, Cookies או Sessions
• השתלטות על חשבונות
• פגיעה בזמינות של מערכת
• ביצוע DoS או DDoS
• הפצת Malware
• Phishing
• Credential Stuffing
• Brute Force בלתי מורשה
• גישה למידע של משתמש אחר
• ניצול SQL Injection, SSRF, IDOR או חולשה אחרת כנגד מערכת ללא הרשאה
• איסוף מידע לצורך תקיפה
• סחיטה, איום או דרישת תשלום בעקבות גילוי חולשה
• מכירת מידע על חולשות לצורך ניצול בלתי חוקי
• סריקה המונית של מערכות שאינן בבעלות המשתמש
• כל פעולה המפרה דין, זכויות צד שלישי או הרשאה שניתנה למשתמש

6. איסור הפיכת השירות לכלי תקיפה

אין להשתמש בשירות כחלק ממערכת אוטומטית שמטרתה:

• איתור מטרות פגיעות
• דירוג מטרות לצורך תקיפה
• בניית מאגר של אתרים פגיעים
• ביצוע Exploitation אוטומטי
• יצירת כלי תקיפה
• שילוב ממצאי השירות עם כלי תקיפה לצורך גישה בלתי מורשית

החברה רשאית להגביל API, קצב שימוש, מספר סריקות, סוגי בדיקות או כל פונקציונליות אחרת לצורך מניעת שימוש לרעה.

7. בדיקות אקטיביות

בדיקות מסוימות עשויות לכלול שליחת בקשות אוטומטיות למערכת הנבדקת. בדיקות בעלות רגישות גבוהה יותר עשויות להיות זמינות רק לאחר אימות בעלות או הרשאה. החברה רשאית, לפי שיקול דעתה, שלא לבצע בדיקה מסוימת גם לאחר שהמשתמש ביקש אותה.

8. ממצאים אינם בהכרח חולשות מאומתות

המערכת משתמשת בכלים אוטומטיים, אלגוריתמים, מאגרי מידע ובינה מלאכותית. לפיכך, תוצאות עשויות לכלול:

• False Positives
• False Negatives
• מידע חלקי
• זיהוי שגוי של טכנולוגיה
• זיהוי שגוי של גרסה
• הערכת חומרה שאינה תואמת את סביבת הלקוח
• המלצת תיקון שאינה מתאימה לארכיטקטורה הספציפית

כל ממצא מהותי צריך לעבור בדיקה מקצועית לפני קבלת החלטה או ביצוע שינוי במערכת Production.

9. אין התחייבות לגילוי כל חולשה

החברה אינה מתחייבת כי השירות יזהה את כל חולשות האבטחה, הפרצות, דליפות המידע, Malware, Backdoors, בעיות ההרשאות, חולשות Business Logic, חולשות Zero-Day, בעיות התשתית, בעיות הקוד או אירועי הסייבר. היעדר ממצא אינו מהווה הוכחה להיעדר חולשה.

10. ציוני אבטחה

Security Score, Risk Score, דירוג חומרה או כל ציון אחר המוצג במערכת הוא אינדיקטור פנימי שמטרתו לסייע בתעדוף. אין לפרש ציון כאישור, הסמכה, אחריות או התחייבות לרמת האבטחה בפועל.

11. שימוש בבינה מלאכותית

חלק מההסברים, הסיכומים, ההמלצות והוראות התיקון עשויים להיווצר או להיות מעובדים באמצעות מערכות בינה מלאכותית. תוכן כזה עשוי להיות שגוי או בלתי מתאים למערכת הספציפית. אין לבצע שינוי מהותי בסביבת Production על סמך המלצה אוטומטית בלבד ללא בדיקה מתאימה.

12. מידע רגיש וסודות

השירות עשוי לזהות אינדיקציות למידע רגיש החשוף במערכת הנבדקת. כאשר הדבר אפשרי, השירות עשוי למסך או לצמצם הצגה של API Keys, Tokens, Credentials, Secrets, מידע אישי ונתונים רגישים אחרים.

אין לראות בהצגת ממצא הרשאה להשתמש במידע שנחשף. אם המשתמש נחשף באמצעות השירות למידע שאינו שייך לו, עליו להימנע משימוש בו.

13. מידע ממאגרי דליפות

השירות עשוי להשתמש בספקים חוקיים של מידע בדבר אירועי דליפה ידועים. השירות אינו מיועד לספק למשתמש סיסמאות גנובות או Credentials שנגנבו. מידע מסוג זה ישמש לצרכים הגנתיים כגון התרעה על כך שכתובת או חשבון הופיעו באירוע דליפה ידוע.

14. מידע של צדדים שלישיים

חלק מהמידע עשוי להגיע ממאגרי CVE, ספקי Threat Intelligence, שירותי DNS, ספקי מידע על דליפות, שירותי Crawling ומקורות צד שלישי אחרים. החברה אינה אחראית לשלמות, דיוק או עדכניות המידע המסופק על-ידי צדדים שלישיים.

15. אחריות המשתמש

המשתמש אחראי באופן בלעדי:

• לקבלת הרשאה לביצוע הסריקה
• לבחירת המערכות הנסרקות
• לשימוש בתוצאות
• לבדיקת ממצאים לפני תיקון
• לגיבוי המערכת לפני ביצוע שינויים
• לאבטחת החשבון שלו
• לשמירת סודיות הדוחות
• לעמידה בכל דין החל עליו

16. תיקונים ושירותי פיתוח

החברה עשויה להציע שירותי פיתוח, אבטחה ותיקון באמצעות ANVI. הצגת הערכת שעות או עלות בדוח האוטומטי היא הערכה ראשונית בלבד. היקף העבודה, המחיר ולוח הזמנים הסופיים ייקבעו רק לאחר בדיקה מקצועית ובהתאם להצעה או להסכם הרלוונטיים.

הצגת מחיר כגון "מתכנתים החל מ-$25 לשעה" אינה מהווה התחייבות לכך שכל עבודה, מומחה או שירות יסופקו במחיר זה.

17. זמינות השירות

השירות מסופק על בסיס AS IS ו-AS AVAILABLE. בכפוף להוראות דין שלא ניתן להתנות עליהן, החברה אינה מתחייבת כי השירות יהיה זמין ללא הפסקה, נקי מתקלות, נקי משגיאות, מתאים לכל מערכת, מדויק בכל עת או חסין מפני אירועי אבטחה.

18. סיכונים הנובעים מסריקה

גם בדיקות אבטחה שנועדו להיות בטוחות עלולות, במקרים מסוימים, לגרום לתגובה בלתי צפויה של מערכת הנבדקת. לדוגמה:

• הפעלת WAF
• חסימת IP
• הפעלת מנגנוני Anti-Bot
• יצירת לוגים או התראות
• Rate Limiting
• עומס בלתי צפוי
• התנהגות חריגה של מערכת צד שלישי

המשתמש מקבל על עצמו סיכונים סבירים הכרוכים בבדיקה שאושרה על-ידו.

19. הגבלת אחריות

במידה המרבית המותרת על פי דין, החברה, בעלי מניותיה, מנהליה, עובדיה, קבלניה ונותני השירות מטעמה לא יהיו אחראים לנזק עקיף, תוצאתי, מיוחד או אובדן רווחים שנגרמו בקשר לשימוש בשירות, לרבות עקב חולשה שלא אותרה, ממצא שגוי, הסתמכות על הדוח, שינוי שבוצע בעקבות המלצה, השבתת מערכת, אובדן נתונים, אובדן הכנסה, אירוע סייבר, פריצה, דליפת מידע או פעולה של צד שלישי. אין בסעיף זה כדי לגרוע מאחריות שלא ניתן להגביל או להתנות עליה לפי דין.

20. תקרת אחריות

בכפוף לדין החל ובמידה המותרת על פיו, ככל שתיקבע אחריות כספית של החברה בקשר לשירות, אחריותה המצטברת של החברה לא תעלה על הסכום ששולם בפועל על-ידי המשתמש לחברה עבור השירות הרלוונטי במהלך שלושת החודשים שקדמו לאירוע שבגינו נוצרה העילה. אם השירות ניתן ללא תשלום, יחולו המגבלות המותרות לפי הדין החל.

21. שיפוי

בכפוף לדין, המשתמש מתחייב לשפות את החברה בגין נזק, הוצאה, דרישה או תביעה של צד שלישי הנובעים משימוש אסור או בלתי מורשה שעשה המשתמש בשירות, לרבות סריקת מערכת ללא הרשאה או שימוש בממצאים לצורך פעילות בלתי חוקית.

22. מניעת שימוש לרעה

החברה רשאית להפעיל מנגנונים לצורך:

• זיהוי Abuse
• Rate Limiting
• זיהוי סריקות חריגות
• מניעת אוטומציה בלתי מורשית
• הגבלת מטרות
• אימות דומיין
• חסימת משתמשים
• חסימת כתובות IP
• השעיית API Keys

23. השעיה וסגירת חשבון

החברה רשאית להשעות, להגביל או להפסיק גישה לשירות במקרה של חשד סביר לשימוש בלתי חוקי, תקיפה, סריקות בלתי מורשות, הפרת תנאי השימוש, ניסיון לעקוף מגבלות או פעילות המסכנת משתמשים, מערכות או צדדים שלישיים. במקרים מתאימים החברה רשאית לפעול באופן מיידי לצמצום הסיכון.

24. תיעוד ואבטחה

לצורכי אבטחה, מניעת Abuse, פתרון תקלות ועמידה בדרישות דין, החברה עשויה לתעד מידע כגון:

• חשבון המשתמש
• כתובת IP
• יעד הסריקה
• מועד הסריקה
• סוג הבדיקות
• מזהה Scan
• אירועי אבטחה
• פעולות במערכת

הטיפול במידע אישי ייעשה בהתאם למדיניות הפרטיות של החברה ולהוראות הדין החל.

25. שיתוף פעולה עם דרישות חוקיות

החברה רשאית למסור מידע כאשר היא מחויבת לכך לפי דין, צו שיפוטי או דרישה חוקית תקפה של רשות מוסמכת. אין בסעיף זה התחייבות לניטור כל פעילות של משתמש.

26. קניין רוחני

המערכת, הקוד, העיצוב, מנגנוני הסריקה, מודלי הדירוג, הדוחות, סימני המסחר והתכנים של החברה מוגנים בזכויות קניין רוחני. אין לבצע ללא הרשאה:

• Reverse Engineering של השירות
• העתקה מהותית של מנגנון הסריקה
• עקיפת מגבלות
• מכירה מחדש של השירות כאילו פותח על-ידי צד אחר
• הסרת סימני זיהוי או זכויות

זכויות המשתמש במערכות ובמידע שלו אינן מועברות לחברה מכוח עצם השימוש בשירות.

27. שימוש בדוחות

המשתמש רשאי להשתמש בדוח ביחס למערכת שאותה היה מורשה לבדוק. אין לשנות דוח באופן שעלול ליצור מצג כאילו החברה אישרה מסקנה שלא הופיעה בדוח המקורי. אין להשתמש בדוח לצורך מצג מטעה של הסמכת אבטחה.

28. גילוי אחראי

אם במהלך השימוש מתגלה חולשה במערכת שאינה בבעלות המשתמש, אין לנצל אותה. מומלץ לפעול בהתאם למדיניות Responsible Disclosure של בעל המערכת, ככל שקיימת.

29. שינויים בשירות ובתנאים

החברה רשאית לעדכן את השירות ואת תנאי השימוש מעת לעת. שינויים מהותיים יפורסמו בהתאם לדרישות הדין. המשך השימוש לאחר כניסת התנאים המעודכנים לתוקף יהיה כפוף לנוסח המעודכן.

30. דין וסמכות שיפוט

על תנאי שימוש אלה יחולו דיני מדינת ישראל בלבד, ללא תחולה לכללי ברירת דין המפנים לדין אחר. בכפוף להוראות דין קוגנטיות החלות על המשתמש, סמכות השיפוט המקומית הייחודית בכל מחלוקת בקשר לשירות או לתנאים אלה תהיה נתונה לבתי המשפט המוסמכים בישראל במחוז שבו מצוי משרדה הרשום של החברה, אלא אם הדין מחייב אחרת.

31. הפרדת הוראות

אם הוראה מתנאים אלה תיקבע כבלתי חוקית או בלתי אכיפה, היא תפורש או תצומצם במידה הנדרשת כדי להתאימה לדין, והדבר לא יפגע בתוקפן של יתר ההוראות.

32. יצירת קשר

אייס קודיט בע"מ (EYESE CODDIT LTD)

ח.פ. 516169158

מותג: ANVI

דוא"ל: contact@anvi.co.il

כתובת: ישראל