Política de Uso Aceitável

Última atualização em 2026-10-01 · parte dos Termos e de todos os contratos principais de licença

O Nexus Studio pode enviar tráfego real aos sistemas para os quais é direcionado. Em um sistema que pertence a você, isso é um teste. Em um sistema que não pertence a você, o mesmo tráfego pode constituir crime na maioria dos países, inclusive nos termos do Computer Fraud and Abuse Act (Estados Unidos), do Computer Misuse Act (Reino Unido) e da Ley 1273 de 2009 (Colômbia). O software não consegue distinguir uma situação da outra. Você consegue. Esta política explica o que isso significa.

Ela se aplica a todos que instalam, executam ou operam o Nexus Studio, em período de avaliação ou em um plano pago, de forma interativa, em CI ou por agendamento.

1. Teste apenas o que você tem autorização para testar

Você só pode direcionar o Nexus Studio a um sistema se, no início da execução, pelo menos uma destas condições for verdadeira:

o sistema pertence a você;
o sistema pertence à sua organização e você está agindo dentro das suas atribuições; ou
você tem permissão explícita, por escrito e vigente do proprietário para o tipo de teste que está prestes a executar: uma carta de contratação assinada, uma autorização para teste de intrusão com escopo definido, uma solicitação interna de mudança ou o escopo por escrito de um programa de recompensa por descoberta de vulnerabilidades.

Acessibilidade pública não é permissão. Uma página de acesso na internet aberta não lhe dá mais direito de testá-la do que uma página protegida por uma VPN.

2. Testes ativos precisam de autorização específica

Alguns recursos atuam sobre o alvo, em vez de apenas observá-lo:

Varreduras de segurança (o Smart Monkey) rastreiam o alvo, enviam formulários e disparam payloads de ataque: injeção de SQL, cross-site scripting, injeção de comandos, injeção de template no servidor, XML external entities, server-side request forgery, path traversal, desserialização insegura e sondagens por arquivos sensíveis. Para confirmar falhas cegas, o Studio abre um listener de callback na sua própria máquina e pede ao alvo que se conecte a ele.
O teste de carga envia muitas requisições simultâneas: uma negação de serviço controlada e limitada.
O teste de caos injeta falhas de rede e pausa, interrompe, encerra à força ou reinicia os serviços que você especifica.
Stealth mode, quando você o ativa, varia o tempo e o User-Agent do navegador para que as execuções automatizadas se pareçam menos com um bot.

Permissão para um tipo de teste não é permissão para outro. Permissão para testes funcionais não é permissão para uma varredura de segurança, uma varredura não é um teste de carga, homologação não é produção e o trimestre passado não é hoje. Se você não tem certeza de que sua permissão abrange uma execução, ela não abrange.

Antes que qualquer um desses recursos envie tráfego a um host real, o Nexus Studio solicita um fundamento registrado (prova de que você controla o host ou uma referência à sua permissão por escrito) e sua confirmação explícita, e sela um registro do operador, do alvo, dos parâmetros e do horário na sua própria pasta de evidências. Esse registro permanece na sua máquina, e nenhuma cópia é enviada a nós. Ele ajuda você a demonstrar o que fez, mas não torna uma execução autorizada: somente o proprietário do sistema pode fazer isso.

3. O que você não pode fazer

Testar, varrer, realizar testes com entradas aleatórias, gerar carga ou prejudicar o funcionamento de um sistema que você não tem autorização para testar.
Contornar, desativar ou remover por meio de alterações no software a etapa de autorização, os limites de taxa ou o registro selado, inclusive confirmando em nome de outra pessoa ou definindo a variável de autorização de CI sem uma permissão por escrito que a sustente.
Exceder um escopo autorizado: por mais tempo, com mais intensidade ou contra mais hosts do que o acordado.
Usar o stealth mode, a rotação de User-Agent ou qualquer outro recurso para burlar a defesa contra bots, o limite de requisições, o CAPTCHA, o web application firewall ou o controle de acesso de um sistema que você não está autorizado a testar, ou para coletar conteúdo de um site contra os termos do proprietário.
Enviar payloads ou callbacks para, ou através de, uma infraestrutura que nem você nem o proprietário que autorizou o teste controla.
Usar o Nexus Studio para tirar um serviço do ar quando a interrupção for o objetivo, e não um efeito mensurado de um teste autorizado.
Guardar, publicar ou usar indevidamente dados de outras pessoas revelados por um teste, como credenciais, tokens ou dados pessoais em capturas de tela e registros.
Usá-lo em benefício de qualquer pessoa sujeita a sanções ou restrições de exportação, ou disponibilizá-lo a ela.
Contornar a verificação de licença, compartilhar sua chave de licença ou revender ou hospedar o Nexus Studio como serviço, a menos que um contrato assinado conosco permita isso.

4. As evidências contêm dados de outras pessoas

Capturas de tela, vídeos, conteúdo de páginas e registros de uma aplicação real conterão dados pessoais e segredos. Essas evidências permanecem nas suas máquinas, e você é responsável por quem pode acessá-las, por quanto tempo as mantém e pelo cumprimento da legislação de proteção de dados aplicável a elas. Não temos acesso a essas evidências.

5. Aplicação da política

Se você violar esta política, poderemos suspender ou encerrar sua licença, inclusive revogá-la. Uma licença revogada deixa de ser renovada imediatamente, e todas as máquinas vinculadas a ela passam ao modo somente leitura quando a confirmação atual expirar, em no máximo 11 dias. Tomamos decisões com base no que podemos observar do nosso lado e nos relatos que recebemos, nunca nos seus registros locais, que jamais recebemos. A revogação não limita nenhuma outra medida cabível, nem sua responsabilidade perante qualquer pessoa cujos sistemas você tenha testado sem autorização.