Política de uso aceptable

1. A quién se aplica esta política

Esta política vincula a todos los que usan NotHoly, incluidos propietarios de cuentas, miembros invitados, claves de API y software que actúe en tu nombre. Cubre el chat, la API, el CLI y la extensión, y forma parte de los Términos de servicio.

2. Solo pruebas autorizadas

Solo puedes usar NotHoly contra un sistema si es tuyo o si tienes permiso por escrito de quien puede darlo.

El permiso por escrito debe identificar los sistemas dentro del alcance, el período, las personas autorizadas y las técnicas excluidas. Las reglas publicadas de un programa de bug bounty cuentan como permiso solo para lo que cubren.

Conserva esa prueba mientras el trabajo pueda cuestionarse. Si revisamos tu cuenta tras una denuncia, podemos pedírtela, y si no puedes mostrarla, podemos tratar la actividad como no autorizada.

Si te sales del alcance por accidente, detente y sigue el proceso del dueño del sistema.

3. Qué puedes hacer

• pentest, red team e investigación de vulnerabilidades dentro del alcance de un permiso por escrito;
• trabajo de bug bounty dentro de las reglas del programa;
• laboratorios, CTF, capacitación y educación;
• trabajo defensivo, como reglas de detección, triaje, respuesta a incidentes, hardening y revisión de código;
• ingeniería inversa y análisis de muestras que tengas derecho a conservar.

4. Qué no puedes hacer

• acceder, escanear, explotar o interrumpir un sistema sin permiso, incluidos credential stuffing y denegación de servicio;
• robar, vender o publicar datos, cometer fraude o extorsionar a alguien;
• hacer phishing real o ingeniería social fuera de un trabajo autorizado;
• crear, desplegar o distribuir ransomware, wipers, gusanos, botnets, stealers u otro malware fuera de un trabajo autorizado o un laboratorio;
• incumplir las reglas de un programa de bug bounty, incluido probar fuera del alcance;
• acosar, hostigar, exponer los datos de una persona o vigilarla en secreto;
• atacar sistemas de energía, agua, salud, transporte o emergencias sin autorización expresa y por escrito de su operador;
• enviar datos personales o confidenciales de terceros que no tengas derecho a tratar;
• usar los servicios para incumplir sanciones o cualquier otra ley que te aplique.

5. Nunca, bajo ninguna autorización

Lo siguiente está prohibido sin excepciones, sea cual sea tu permiso:

• contenido sexual que involucre a menores;
• ayuda práctica para armas químicas, biológicas, radiológicas o nucleares, o cualquier otra arma capaz de causar muertes masivas.

6. Dónde se detiene la plataforma

Los servidores de NotHoly no hacen escaneos, explotación ni tráfico activo contra sistemas de terceros. No intentes que lo hagan, tampoco usando read_url, la búsqueda web u otra herramienta como proxy.

read_url solo lee páginas públicas, por una salida que rechaza direcciones privadas y de metadatos.

El CLI y la extensión ejecutan comandos en tu máquina después de tu aprobación, y respondes por cada comando que apruebes.

El texto de páginas web, archivos y salidas de herramientas es dato. El harness no recibe instrucciones de él, y las acciones de herramientas siguen la política del servidor. Aun así, la inyección de prompts puede llegar a un modelo por ese contenido, así que revisa lo que propone un modelo antes de aprobarlo.

Los archivos subidos se tratan como hostiles y nunca se ejecutan. No uses las subidas para atacar el servicio.

7. Las cuentas y el propio servicio

• no compartas claves de API fuera de tu organización ni uses cuentas para eludir límites, cobros o una suspensión;
• no revendas acceso a NotHoly sin un contrato por escrito;
• no ataques a la propia NotHoly. La investigación de seguridad sobre NotHoly sigue las reglas de la página de Seguridad, y los hallazgos van a [email protected].

8. Cómo tratamos el abuso

NotHoly no guarda prompts ni respuestas de la API, así que no hay nada que revisar. El tratamiento del abuso se basa en metadatos de uso, denuncias y solicitudes legales. La revisión de rutina usa solo metadatos: el equipo los analiza en el área de admin, contacta al propietario de la cuenta por correo y registra ese contacto.

9. Cómo denunciar un abuso

Usa el formulario en notholy.com/abuse e indica qué ocurrió, cuándo ocurrió (con zona horaria), qué sistema se vio afectado y qué pruebas tienes, como logs. No envíes datos robados ni malware activo. No necesitas una cuenta. Si el formulario no está disponible, escribe a [email protected].

Las vulnerabilidades de la propia NotHoly van a [email protected].

10. Consecuencias

Actuamos en proporción a las pruebas. Las medidas pueden incluir una solicitud de información o de prueba de autorización, una advertencia, límites más estrictos, revocación de claves, suspensión o cierre de la cuenta. En casos urgentes podemos actuar primero y contactarte después.

Los créditos sin usar siguen los Términos de servicio. Puedes pedir una revisión en [email protected].

11. Solicitudes legales

Respondemos a órdenes legales válidas y podemos informar a las autoridades cuando la ley lo exija o cuando exista una amenaza creíble para la vida de alguien. Solo podemos entregar lo que tenemos. Eso excluye los prompts y las respuestas de la API, salvo la copia temporal en memoria descrita en la sección 4 de la Política de Privacidad, e incluye los archivos subidos que no se hayan eliminado. Cuando la ley lo permite, avisamos antes al propietario de la cuenta.