Politica di utilizzo accettabile

1. A chi si applica questa politica

Questa politica vincola chiunque usi NotHoly, compresi i proprietari degli account, i membri invitati, le chiavi API e il software che agisce per tuo conto. Riguarda la chat, l'API, la CLI e l'estensione, e fa parte dei Termini di servizio.

2. Solo test autorizzati

Puoi usare NotHoly contro un sistema solo se ne sei proprietario o se hai il permesso scritto di chi ha titolo per darlo.

Il permesso scritto dovrebbe indicare i sistemi nel perimetro, la finestra temporale, le persone autorizzate a fare il lavoro e le tecniche escluse. Le regole pubblicate di un programma di bug bounty valgono come permesso solo per ciò che coprono.

Conserva questa prova finché l'incarico può essere messo in discussione. Se esaminiamo il tuo account dopo una segnalazione, possiamo chiederti di mostrarla, e se non puoi, possiamo considerare l'attività non autorizzata.

Se esci dal perimetro per errore, fermati e segui la procedura del proprietario del sistema.

3. Cosa puoi fare

• pentest, red team e ricerca di vulnerabilità nel perimetro di un permesso scritto;
• bug bounty nel rispetto delle regole di un programma;
• laboratori, CTF, formazione e didattica;
• lavoro difensivo come regole di rilevamento, triage, risposta agli incidenti, hardening e code review;
• reverse engineering e analisi di campioni che hai il diritto di detenere.

4. Cosa non puoi fare

• accedere, scansionare, sfruttare o interrompere un sistema senza permesso, compresi credential stuffing e denial of service;
• rubare, vendere o pubblicare dati, commettere frodi o estorcere chiunque;
• fare phishing reale o ingegneria sociale fuori da un incarico autorizzato;
• creare, distribuire o diffondere ransomware, wiper, worm, botnet, stealer o altro malware fuori da un incarico o un laboratorio autorizzato;
• violare le regole di un programma di bug bounty, compreso testare fuori perimetro;
• perseguitare, molestare, fare doxing o sorvegliare di nascosto una persona;
• attaccare sistemi energetici, idrici, sanitari, dei trasporti o di emergenza senza l'autorizzazione scritta esplicita del loro gestore;
• inviare dati personali o riservati di terzi che non hai il diritto di trattare;
• usare i servizi per violare sanzioni o qualsiasi altra legge che ti si applica.

5. Mai, con nessuna autorizzazione

Quanto segue è vietato senza eccezioni, qualunque permesso tu abbia:

• contenuti sessuali che coinvolgono minori;
• aiuto pratico verso armi chimiche, biologiche, radiologiche o nucleari, o qualsiasi altra arma capace di provocare vittime di massa.

6. Dove si ferma la piattaforma

I server di NotHoly non fanno scansioni, sfruttamento o traffico attivo verso sistemi di terzi. Non cercare di farglielo fare, nemmeno usando read_url, la ricerca web o qualsiasi altro strumento come proxy.

read_url legge solo pagine pubbliche, tramite un'uscita che rifiuta indirizzi privati e di metadati.

La CLI e l'estensione eseguono comandi sulla tua macchina dopo la tua approvazione, e sei responsabile di ogni comando che approvi.

Il testo di pagine web, file e output degli strumenti è un dato. L'harness non prende istruzioni da lì, e le azioni degli strumenti seguono la politica del server. Una prompt injection può comunque raggiungere un modello tramite quei contenuti, quindi controlla quello che un modello propone prima di approvarlo.

I file caricati sono trattati come ostili e non vengono mai eseguiti. Non usare i caricamenti per attaccare il servizio.

7. Gli account e il servizio stesso

• non condividere chiavi API fuori dalla tua organizzazione e non usare account per aggirare limiti, tariffe o una sospensione;
• non rivendere l'accesso a NotHoly senza un accordo scritto;
• non attaccare NotHoly stesso. La ricerca di sicurezza su NotHoly segue le regole della pagina Sicurezza, e i finding vanno a [email protected].

8. Come gestiamo gli abusi

NotHoly non salva prompt né output dell'API, quindi non ce ne sono da esaminare. La gestione degli abusi si basa su metadati di utilizzo, segnalazioni e richieste legali. La verifica ordinaria usa solo i metadati: lo staff li consulta nell'area admin, contatta il proprietario dell'account via email e registra quel contatto.

9. Segnalare un abuso

Usa il modulo su notholy.com/abuse e indica cosa è successo, quando (con il fuso orario), quale sistema è stato coinvolto e quali prove hai, come i log. Non inviare dati rubati né malware funzionante. Non serve un account. Se il modulo non è disponibile, scrivi a [email protected].

Le vulnerabilità di NotHoly stesso vanno segnalate a [email protected].

10. Conseguenze

Agiamo in proporzione alle prove. Le misure possono includere una richiesta di informazioni o di prova dell'autorizzazione, un avvertimento, limiti più stretti, chiavi revocate, sospensione o chiusura dell'account. Nei casi urgenti possiamo agire prima e contattarti dopo.

I crediti non usati sono gestiti secondo i Termini di servizio. Puoi chiedere un riesame a [email protected].

11. Richieste legali

Rispondiamo a ordini legali validi, e possiamo fare segnalazioni alle autorità dove la legge lo richiede o dove c'è una minaccia credibile alla vita di qualcuno. Possiamo consegnare solo ciò che abbiamo. Questo esclude prompt e output dell'API, salvo la copia temporanea in memoria descritta nella sezione 4 dell'Informativa sulla privacy, e comprende i file che hai caricato e non hai fatto rimuovere. Dove la legge lo consente, avvisiamo prima il proprietario dell'account.