Пользовательское соглашение

Редакция от 8 октября 2026 года.

1. Общие положения

Это соглашение между ООО «Совкомбанк Технологии» (оператор, реквизиты в разделе 13) и вами (пользователь) об использовании сервиса CyberSovcom на сайте sovcombank-security.ru. Сервис бесплатный.

Соглашение является публичной офертой. Вы принимаете его целиком, когда при регистрации отмечаете флажок «Принимаю пользовательское соглашение». Если вы не согласны с условиями, не регистрируйтесь и не пользуйтесь сервисом. Регистрируясь от имени организации, вы подтверждаете, что у вас есть на это полномочия.

2. Термины

  • Сервис: CyberSovcom, веб-приложение для автоматической проверки сайтов на типовые уязвимости и ошибки настройки.
  • Аккаунт: учетная запись пользователя с подтвержденным email.
  • Подтвержденный домен: домен, владение которым пользователь доказал TXT-записью в DNS. Подтверждение действует 180 дней и распространяется на все поддомены.
  • Цель: сайт на подтвержденном домене или его поддомене, который пользователь указал для проверки, вместе с серверами, на которые указывает DNS-запись этого адреса.
  • Сканирование: автоматическая проверка цели набором из более чем 150 проверок на базе сканера nuclei.
  • Находка: результат проверки, указывающий на возможную уязвимость или ошибку настройки.
  • Отчет: список находок с доказательствами и AI-анализом в личном кабинете и в файле DOCX.
  • AI-анализ: текст с выводами и рекомендациями, который пишет языковая модель по сведениям о находках.

3. Как работает сканирование

  • Сервис отправляет на цель HTTP- и HTTPS-запросы и ищет открытые служебные файлы, утечки ключей, ошибки настройки, типовые веб-уязвимости и забытые панели управления.
  • Агрессивные проверки, фаззинг и проверки на отказ в обслуживании отключены.
  • Сервис отправляет на цель не более 50 запросов в секунду.
  • Запросы приходят с заголовком User-Agent «CyberSovcom-Scanner (v1)»: по нему сканирование можно найти в журналах или разрешить в WAF.
  • Отчет хранится 60 дней.

4. Права на цель сканирования

Запуская сканирование, вы заверяете, что:

  • цель принадлежит вам или организации, от имени которой вы действуете, либо владелец цели разрешил вам проверку безопасности;
  • если цель размещена у хостинг-провайдера, в CDN или облаке, их правила разрешают клиенту такую проверку;
  • эти условия выполняются на момент каждого запуска. Если домен сменил владельца или разрешение отозвано, сканировать цель больше нельзя.

TXT-запись подтверждает управление DNS-зоной, но не права на все серверы, на которые указывают ее записи. За это отвечаете вы. Если заверения окажутся недостоверными, вы возмещаете оператору убытки, в том числе по требованиям третьих лиц.

5. Что запрещено

  • проверять ресурсы без разрешения владельца, в том числе направлять DNS подтвержденного домена на чужие серверы;
  • обходить подтверждение домена, лимиты, капчу и другие ограничения сервиса;
  • регистрировать аккаунты автоматически или на чужой email, передавать доступ к аккаунту другим людям;
  • использовать результаты для неправомерного доступа к информации, создания вредоносных программ или нарушения работы чужих систем;
  • атаковать сервис и искать в нем уязвимости без согласования с оператором. О найденной уязвимости напишите на адрес из раздела 13;
  • проверять ресурсы государственных органов: такие домены заблокированы.

При нарушении оператор может остановить сканирование и заблокировать аккаунт без предупреждения, а также передать сведения правоохранительным органам по их запросу. Неправомерный доступ к чужим системам преследуется по статьям 272-274 Уголовного кодекса РФ.

6. Риски сканирования

Сканирование отправляет на цель настоящие запросы. Возможны:

  • срабатывание WAF, систем обнаружения атак и оповещений службы безопасности, блокировка IP-адресов сервиса;
  • записи о сканировании в журналах сервера;
  • заметная нагрузка на слабый сервер;
  • ошибки в приложениях, которые нестандартно обрабатывают запросы.

Часть проверок ищет уязвимости, которые проявляются, только когда сервер сам обращается наружу. Для них в запросы подставляются адреса публичного сервера interactsh проекта ProjectDiscovery (домены oast.pro, oast.live, oast.site, oast.online, oast.fun, oast.me). Если сайт уязвим, ваш сервер отправит туда DNS- или HTTP-запрос.

Вы запускаете сканирование, понимая эти риски. Перед первой проверкой предупредите администраторов цели, а рабочие системы по возможности проверяйте после тестовой среды.

7. Результаты и AI-анализ

  • Проверки автоматические: бывают ложные срабатывания и пропуски. Если находок нет, это не значит, что уязвимостей нет. Отчет не заменяет ручной аудит и тестирование на проникновение.
  • AI-анализ пишет языковая модель. В нем возможны ошибки, неточные рекомендации и подробности, которых нет в данных. Проверяйте выводы, прежде чем менять настройки.
  • Для AI-анализа в OpenRouter (США) уходят только сведения о находках, без ответов вашего сервера и без персональных данных. Подробнее в разделе 4 политики обработки персональных данных.
  • Если AI-сервис недоступен, отчет выдается без AI-анализа.
  • Отчеты и AI-анализ предназначены вам: используйте и передавайте их по своему усмотрению. Оператор не публикует отчеты и передает их подрядчикам только в объеме, описанном в политике.

8. Данные в отчетах: поручение обработки

Если на цели в открытом доступе лежат персональные данные, например в журнале ошибок или выгрузке базы, фрагменты ответов сервера с ними попадут в отчет как доказательство находки. Оператором этих данных являетесь вы или владелец цели.

Принимая соглашение, вы поручаете оператору обрабатывать такие данные (часть 3 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных») на следующих условиях:

  • действия: получение в ответах сервера при сканировании, запись, хранение, показ в отчете и выгрузка в DOCX по вашему запросу, удаление;
  • цель: показать вам доказательства найденных проблем;
  • срок: 60 дней или до удаления отчета, после чего данные удаляются;
  • данные не передаются третьим лицам и в AI-сервисы и хранятся в базах данных в России;
  • оператор соблюдает конфиденциальность данных и принимает меры защиты по статье 19 закона, они описаны в разделе 6 политики;
  • по вашему запросу оператор в течение 10 рабочих дней сообщает, какие меры защиты приняты;
  • об утечке таких данных оператор сообщает вам незамедлительно, не позднее 24 часов после того, как узнал о ней.

Вы отвечаете за то, что у вас есть основания поручить такую обработку. Не используйте сервис, чтобы собирать чужие персональные данные.

9. Ответственность

  • Сервис бесплатный и предоставляется в текущем виде. Оператор не гарантирует непрерывную работу сервиса и полноту проверок.
  • Оператор не отвечает за последствия сканирования для цели, за решения, принятые по отчету и AI-анализу, и за недоступность сервиса, кроме случаев умысла или грубой неосторожности оператора.
  • Вы отвечаете за законность сканирования и возмещаете убытки, которые оператор или третьи лица понесли из-за нарушения вами этого соглашения.

10. Аккаунт

  • Отчет можно удалить в личном кабинете, аккаунт целиком по письму на адрес из раздела 13. Аккаунт удаляется вместе с отчетами и доменами в течение 10 рабочих дней.
  • Оператор может заблокировать аккаунт при нарушении соглашения.
  • Оператор может изменить состав проверок или прекратить работу сервиса, предупредив пользователей на сайте или письмом.

11. Изменение соглашения

Новая редакция публикуется на этой странице с датой. О существенных изменениях оператор сообщает письмом не позднее чем за 10 дней до вступления их в силу. Если вы не согласны, удалите аккаунт. Если продолжаете пользоваться сервисом после этой даты, для вас действует новая редакция.

12. Споры

К соглашению применяется право Российской Федерации. По спорному вопросу сначала напишите оператору: ответ придет в течение 10 рабочих дней. Если договориться не получится, спор рассматривает суд по правилам подсудности, установленным законом.

13. Оператор

ООО «Совкомбанк Технологии», ИНН 4400001172, ОГРН 1214400000760. Адрес: 143007, Московская область, Одинцовский городской округ, г. Одинцово, ул. Вокзальная, д. 3Б, помещ. 49, ком. 307. Номер в реестре операторов персональных данных Роскомнадзора: 77-22-132663.

Вопросы о персональных данных и работе сервиса: security@sovcombank-security.ru.