Politique d'utilisation acceptable

Dernière mise à jour le 2026-10-01 · fait partie des Conditions et de tout contrat de licence principal

Nexus Studio peut envoyer du trafic réel vers les systèmes sur lesquels il est dirigé. Utilisé contre un système que vous possédez, il s'agit de tests. Utilisé contre un système que vous ne possédez pas, le même trafic peut constituer un crime dans la plupart des pays, notamment en vertu du Computer Fraud and Abuse Act (États-Unis), du Computer Misuse Act (Royaume-Uni) et de la Ley 1273 de 2009 (Colombie). Le logiciel ne peut pas faire la différence. Vous, si. Cette politique explique ce que cela implique.

Elle s'applique à toute personne qui installe, exécute ou exploite Nexus Studio, dans le cadre d'un essai ou d'un abonnement payant, de manière interactive, en intégration continue ou selon une planification.

1. Ne testez que ce que vous êtes autorisé à tester

Vous pouvez diriger Nexus Studio vers un système uniquement si, au moment où l'exécution commence, au moins l'une de ces conditions est remplie :

vous êtes propriétaire du système ;
votre organisation en est propriétaire et vous agissez dans le cadre de votre rôle ; ou
vous disposez d'une autorisation explicite, écrite et en vigueur de la part de son propriétaire pour le type de test que vous êtes sur le point d'effectuer : une lettre de mission signée, une autorisation de test d'intrusion délimitée, une demande de modification interne, ou le périmètre écrit d'un programme de bug bounty.

L'accessibilité publique ne vaut pas autorisation. Une page de connexion sur l'internet ouvert ne vous appartient pas davantage à tester que celle qui se trouve derrière un VPN.

2. Les tests actifs nécessitent leur propre autorisation

Certaines fonctionnalités agissent sur la cible, elles ne se contentent pas de l'observer :

Les analyses de sécurité (le Smart Monkey) explorent la cible, soumettent des formulaires et envoient des charges utiles d'attaque : injection SQL, cross-site scripting (XSS), injection de commandes, injection de templates côté serveur (SSTI), entités externes XML (XXE), falsification de requête côté serveur (SSRF), traversée de répertoires, désérialisation non sécurisée et sondes pour fichiers sensibles. Pour confirmer les résultats à l'aveugle, le Studio ouvre un écouteur de rappels (callbacks) sur votre propre machine et demande à la cible de le contacter.
Les tests de charge envoient de nombreuses requêtes simultanées : un déni de service contrôlé et plafonné.
Les tests de chaos injectent des défaillances réseau, et mettent en pause, arrêtent, interrompent ou redémarrent les services que vous désignez.
Le mode furtif, lorsque vous l'activez, fait varier le timing et l'User-Agent du navigateur afin que les exécutions automatisées ressemblent moins à un bot.

L'autorisation pour l'un ne vaut pas autorisation pour l'autre. L'autorisation pour des tests fonctionnels ne vaut pas autorisation pour un scan de sécurité, un scan ne vaut pas un test de charge, l'environnement de staging n'est pas la production, et le trimestre dernier n'est pas aujourd'hui. Si vous n'êtes pas certain que votre autorisation couvre une exécution, c'est qu'elle ne la couvre pas.

Avant qu'une de ces fonctionnalités n'envoie du trafic vers un hôte réel, Nexus Studio demande une base enregistrée (preuve que vous contrôlez l'hôte, ou une référence à votre autorisation écrite) ainsi que votre confirmation explicite, et il scelle un enregistrement de l'opérateur, de la cible, des paramètres et de l'heure dans votre propre dossier de preuves. Cet enregistrement reste sur votre machine, et aucune copie ne nous est jamais transmise. Il vous aide à démontrer ce que vous avez fait, mais il ne rend pas une exécution autorisée : seul le propriétaire du système peut le faire.

3. Ce que vous ne pouvez pas faire

Tester, scanner, fuzzer, soumettre à des tests de charge ou perturber un système que vous n'êtes pas autorisé à tester.
Contourner, désactiver ou neutraliser l'étape d'autorisation, les plafonds de débit ou l'enregistrement scellé, notamment en confirmant au nom d'une autre personne ou en définissant la variable d'autorisation CI sans autorisation écrite la justifiant.
Aller au-delà d'un périmètre autorisé : des tests plus longs, plus intensifs ou menés contre davantage d'hôtes que ce qui a été convenu.
Utiliser le mode furtif, la rotation d'User-Agent ou toute autre fonctionnalité pour contourner une protection anti-bot, une limitation de débit, un CAPTCHA, un pare-feu d'application web (WAF) ou le contrôle d'accès d'un système que vous n'êtes pas autorisé à tester, ou pour collecter le contenu d'un site en violation des conditions de son propriétaire.
Envoyer des charges utiles ou des rappels (callbacks) vers ou à travers une infrastructure que ni vous ni le propriétaire ayant autorisé le test ne contrôlez.
Utiliser Nexus Studio pour mettre un service hors ligne lorsque l'interruption est l'objectif visé plutôt qu'un effet mesuré des tests autorisés.
Conserver, publier ou utiliser à mauvais escient les données d'autrui qu'un test révèle, telles que des identifiants, des jetons ou des données personnelles figurant dans des captures d'écran et des journaux.
L'utiliser à des fins impliquant, ou le mettre à la disposition de, toute personne soumise à des sanctions ou à des restrictions à l'exportation.
Contourner la vérification de licence, partager votre clé de licence, ou revendre ou héberger Nexus Studio en tant que service, sauf si un accord signé avec nous vous y autorise.

4. Les preuves contiennent des données appartenant à des tiers

Les captures d'écran, les vidéos, le contenu des pages et les journaux provenant d'une application réelle contiendront des données personnelles et des informations confidentielles. Ces preuves restent sur vos machines, et vous êtes responsable des personnes pouvant y accéder, de la durée de conservation et de la législation applicable en matière de protection des données. Nous n'y avons aucun accès.

5. Application de la politique

Si vous enfreignez cette politique, nous pouvons suspendre ou résilier votre licence, pouvant aller jusqu'à sa révocation. Une licence révoquée cesse immédiatement de se renouveler, et chaque machine sur laquelle elle est installée passe en lecture seule à l'expiration de la confirmation en cours, dans un délai maximum de 11 jours. Notre décision se fonde sur ce que nous pouvons observer de notre côté et sur les signalements que nous recevons, jamais sur vos enregistrements locaux, auxquels nous n'avons jamais accès. La révocation ne limite aucun autre recours, ni votre responsabilité envers toute personne que vous auriez testée sans autorisation.