Условия сервиса

01 О чём эти условия

Enigma Zero (enigmazero.dev) — онлайн-сервис, который проверяет публичную поверхность сайтов, веб-приложений и API на типовые проблемы безопасности и готовит отчёт с рекомендациями. Дальше Enigma Zero — «мы». Сведения об организации, которая предоставляет сервис, сообщаем по запросу на [email protected].

Эти условия — договор между нами и вами как пользователем сервиса. Вы принимаете их, когда ставите отметку «Я принимаю Условия сервиса» перед проверкой: вместе со сканом мы сохраняем номер редакции и время согласия. Просматривать сайт можно и без этого, но запустить проверку — нет.

Как мы обращаемся с данными, описано в политике конфиденциальности. Как ведёт себя сканер на проверяемом сайте — на странице о сканере.

02 Что делает проверка Basic

Basic — бесплатная автоматическая проверка того, что видит из интернета любой посетитель. Проверка идёт по заранее заданным правилам и состоит из двух видов запросов:

• пассивные — сканер загружает публичные страницы, скрипты, файлы и разбирает ответы: TLS и сертификат, заголовки безопасности, cookies, открытые служебные файлы, секреты в клиентском коде, версии библиотек и известные уязвимости;
• лёгкие активные — безопасные запросы только на чтение: GET к известным служебным путям (например, /.env, /.git/, /swagger.json), OPTIONS, проверка CORS с безобидным Origin и один фиксированный запрос интроспекции GraphQL.

Сканер не делает больше 3 запросов в секунду к одному хосту и не больше 400 запросов за проверку. Он ходит только на подтверждённый адрес (при подтверждении через DNS — ещё и на поддомены), с адреса 51.195.37.32 и с User-Agent EnigmaZeroScanner/0.1 (+https://enigmazero.dev/scanner). Для разведки сканер также обращается к публичным DNS-резолверам и журналам Certificate Transparency.

03 Чьи сайты можно проверять

Проверять можно только сайты, которыми вы владеете или на проверку которых у вас есть разрешение владельца — желательно письменное. Отмечая согласие перед проверкой, вы подтверждаете, что такое право у вас есть. Если вы проверяете сайт клиента или работодателя, разрешение должно покрывать автоматическое сканирование безопасности.

Перед проверкой нужно подтвердить контроль над адресом: meta-тегом на главной странице, файлом /.well-known/enigma-zero.txt или TXT-записью в DNS. Подтверждение через meta-тег или файл действует для одного адреса (схема, хост и порт), через DNS — для домена и всех его поддоменов. Подтверждение действует 30 дней и перепроверяется перед каждым сканом: если тег, файл или запись убраны, новые проверки не запустятся.

Подтверждение доказывает, что вы можете менять сайт или его DNS, но не заменяет права на проверку. Если вы управляете сайтом, но не вправе решать о его проверке (например, подрядчик без согласия заказчика), не запускайте её.

Сайт может работать на чужой инфраструктуре — хостинге, CDN, платформе вроде Vercel или Netlify. Basic по характеру запросов похож на обычного посетителя, но соблюдение правил вашего провайдера остаётся на вас.

04 Что запрещено

Нельзя:

• проверять сайты без права на это и подтверждать чужие адреса любым способом;
• обходить подтверждение владения, дневные лимиты и защиту от ботов — в том числе множеством сессий, адресов или автоматизацией;
• использовать отчёты, чтобы атаковать сайты или вредить их владельцам и пользователям;
• мешать работе сервиса, атаковать его инфраструктуру или пытаться получить чужие отчёты;
• выдавать отчёт Basic за аудит, тест на проникновение или сертификат безопасности.

Если вы нашли уязвимость в самом Enigma Zero, напишите на [email protected] — мы будем благодарны. Добросовестное исследование без вреда для сервиса и других пользователей мы нарушением не считаем.

При нарушении мы можем остановить проверки, отказать в доступе к сервису и сохранить сведения, нужные для разбора жалобы.

05 Отчёт и его ограничения

Отчёт — результат автоматической проверки по правилам. В нём отделены подтверждённые наблюдения от предположений, и указано, какие модули отработали полностью, а какие нет. При этом:

• отчёт может содержать ложные срабатывания и пропускать проблемы. Отсутствие находок значит только, что на публичной поверхности по нашим правилам ничего не нашлось, — не что приложение безопасно;
• Basic не видит страницы за авторизацией, серверный код, базу данных и бизнес-логику;
• рекомендации и промпты для ИИ-инструментов — подсказки, а не готовое решение. Проверяйте изменения, которые вносит ваш инструмент, и делайте резервные копии: за изменения в вашем коде и инфраструктуре отвечаете вы.

Отчёт видит только тот, кто запустил проверку (в том же браузере), и те, кому он передал приватную ссылку. Ссылка работает 30 дней, и открыть отчёт по ней может любой, у кого она есть, — делитесь ей осторожно. Найденные секреты в отчёте и у нас хранятся только в замаскированном виде.

06 Бесплатность, лимиты и доступность

Basic бесплатен. Чтобы сервисом не злоупотребляли, действуют дневные лимиты на число проверок и защита от ботов (Cloudflare Turnstile). Лимиты могут меняться.

Сервис предоставляется «как есть». Мы стараемся, чтобы он работал стабильно, но не гарантируем бесперебойную работу, сохранность конкретного отчёта или определённый результат. Мы можем менять состав проверок, приостанавливать сервис для обслуживания или прекратить его работу.

Платный режим Advanced будет работать по отдельным условиям, которые вы примете до начала.

07 Ответственность

В пределах, допустимых законом, мы не отвечаем за косвенные убытки, упущенную выгоду, потерю данных и последствия решений, принятых по отчёту или рекомендациям, а также за изменения, которые ИИ-инструмент внёс в ваш код по нашим промптам. Basic бесплатен, и наша ответственность по нему ограничена тем, что прямо требует закон.

Вы отвечаете за то, что у вас есть право на проверку. Если сканирование без такого права приведёт к претензиям к нам, вы возмещаете связанные с этим расходы в порядке, предусмотренном законом.

08 Изменения условий

Новая редакция публикуется на этой странице с номером и датой. Она действует для проверок, запущенных после публикации: при следующей проверке вы примете её заново. Проверки, запущенные раньше, остаются под той редакцией, которую вы приняли. Текущая редакция — 2026-10-v1 от 22 октября 2026.

09 Применимое право и споры

К этим условиям применяется право Республики Казахстан. Споры мы сначала стараемся решить перепиской — напишите на [email protected], мы ответим. Если договориться не удалось, спор рассматривает суд Республики Казахстан по месту нахождения организации, которая предоставляет сервис, если закон не устанавливает иное. Обязательные права потребителей по закону страны вашего проживания эти условия не ограничивают.

10 Контакты

сервис

Enigma Zero

сведения об организации

по запросу на почту

почта

[email protected]

сайт

enigmazero.dev