可接受使用政策

最后更新于 2026-10-01 · 属于条款及每份主许可协议的一部分

Nexus Studio 可以向指定的系统发送真实流量。用于您拥有的系统时，这是测试。用于不属于您的系统时，同样的流量在大多数国家都可能构成犯罪，包括违反美国《计算机欺诈和滥用法》、英国《计算机滥用法》和哥伦比亚 Ley 1273 de 2009。软件无法分辨这两种情况。您可以。本政策说明这意味着什么。

本政策对所有安装、运行或操作 Nexus Studio 的人员均有约束力，无论使用试用版还是付费方案，也无论采用交互方式、在 CI 中运行还是按计划运行。

1. 仅测试您获准测试的系统

只有在开始运行时至少满足以下一项条件，您才可以将 Nexus Studio 用于某个系统：

您拥有该系统；
您所在的组织拥有该系统，且您在职责范围内行事；或
您持有系统所有者针对即将开展的测试类型给予的明确、书面且当前有效的许可：例如已签署的委托书、明确范围的渗透测试授权、内部变更申请，或漏洞赏金计划的书面测试范围。

可公开访问并不代表获得许可。互联网上公开的登录页面和 VPN 后的登录页面一样，都不是您可以随意测试的。

2. 主动测试需要单独授权

某些功能不只是观察目标，还会对目标执行操作：

安全扫描 (Smart Monkey) 会爬取目标、提交表单并发送攻击载荷：SQL 注入、跨站脚本、命令注入、服务端模板注入、XML 外部实体、服务端请求伪造、路径遍历、不安全反序列化以及敏感文件探测。为确认盲测发现的问题，Studio 会在您自己的机器上启动回调监听器，并让目标向其发起连接。
负载测试会发送大量并发请求：相当于受控且有上限的拒绝服务。
混沌测试会注入网络故障，并暂停、停止、强制终止或重启您指定的服务。
隐身模式开启后，会调整操作时序和浏览器的 User-Agent, 让自动化运行不那么像机器人。

一种测试的许可并不等于另一种测试的许可。功能测试许可不等于安全扫描许可，扫描不等于负载测试，预发布环境不等于生产环境，上季度的许可也不等于今天的许可。如果您不确定许可是否涵盖某次运行，那就意味着不涵盖。

在上述任何功能向真实主机发送流量之前，Nexus Studio 都会要求您提供可记录的依据（证明您控制该主机，或提供书面许可的引用信息），并要求您明确确认，随后将操作人员、目标、参数和时间的记录封存到您自己的证据文件夹中。该记录保留在您的计算机上，绝不会向我们发送任何副本。它可以帮助您说明自己做了什么，但不能使一次运行获得授权：只有系统所有者才能授权。

3. 禁止行为

对未经授权的系统进行测试、扫描、模糊测试、负载测试或干扰。
绕过、禁用或通过修改程序移除授权步骤、速率上限或封存记录，包括代他人确认，或在没有书面许可支持的情况下设置 CI 授权变量。
超出授权范围：测试时间更长、强度更大，或针对的主机多于约定数量。
使用隐身模式、User-Agent 轮换或任何其他功能，绕过您未获授权测试的系统的机器人防护、速率限制、验证码、Web 应用防火墙或访问控制，或违反网站所有者的条款采集网站内容。
向既不受您控制、也不受授权测试的网站所有者控制的基础设施发送载荷或回调请求，或通过此类基础设施发送。
以中断服务为目的使用 Nexus Studio，而不是将服务中断作为授权测试中经过衡量的影响。
保留、发布或滥用测试中发现的他人数据，例如截图和日志中的凭据、令牌或个人数据。
为受到制裁或出口限制的任何人使用本产品，或向其提供本产品。
绕过许可证检查、分享您的许可证密钥，或转售 Nexus Studio 或将其托管为服务，除非您与我们签署的协议允许这样做。

4. 证据中含有他人的数据

真实应用中的截图、视频、页面内容和日志会包含个人数据和机密信息。这些证据保留在您的计算机上，您有责任管理谁能访问、保留多长时间，并遵守适用的数据保护法律。我们无法访问这些证据。

5. 执行措施

如果您违反本政策，我们可能暂停或终止您的许可证，直至将其吊销。许可证一经吊销就会立即停止续期，使用该许可证的所有计算机将在当前确认有效期届满时进入只读状态，最迟不超过 11 天。我们根据自身可见的信息和收到的举报作出决定，绝不依据您的本地记录，因为我们从不接收这些记录。吊销许可证不影响任何其他补救措施，也不免除您对任何遭到您未经授权测试的主体所负的责任。