Uso responsable y modos de auditoría

Auditar solo objetivos autorizados

VICE es una herramienta defensiva. Audite las aplicaciones, los repositorios y la infraestructura que posee o que está explícitamente autorizado a probar. Un punto final público no otorga permiso para realizar pruebas activas sin restricciones.

Un análisis de seguridad ligero de la plataforma sigue siendo limitado y no requiere verificación de dominio. Las auditorías de seguridad administradas completas, personalizadas y específicas de cada módulo requieren un dominio verificado y un lanzamiento deliberado.

Elija el modo de auditoría

• Perfil ligero: comprobaciones limitadas de una superficie web pública para una primera señal rápida.
• Perfil completo: el amplio perfil administrado disponible para un dominio de plataforma verificado.
• Perfil personalizado: módulos administrados seleccionados para un dominio verificado y una pregunta enfocada.
• Remoto: un escaneo CLI de una URL implementada desde el exterior.
• Local: una auditoría CLI del origen, la configuración, las dependencias, las migraciones, el historial de Git, los contenedores y los flujos de trabajo.

1vice scan https://app.example.com
2vice audit .

Mantenga el descubrimiento dentro del alcance

VICE puede seguir los recursos públicos descubiertos durante una auditoría, pero cada destino debe permanecer dentro del protocolo, host, redireccionamiento, DNS, IP y presupuestos de solicitud seleccionados. Un nombre de host descubierto no hereda automáticamente la confianza.

• Separe la puesta en escena y la producción cuando sus implementaciones o límites de confianza difieran.
• Revise las redirecciones antes de ampliar el alcance previsto.
• Utilice un perfil personalizado enfocado cuando solo sea necesario volver a probar un módulo.

Mantenga las credenciales vinculadas al origen

Los análisis remotos autenticados pueden utilizar una cookie o un encabezado de autorización. VICE nunca debe propagar ese material a un origen secundario. Utilice la cuenta de prueba más limitada posible y revoquela después de la auditoría cuando corresponda.

Lea la cobertura antes de confiar en una puntuación de seguridad

Un escaneo es una prueba, no una garantía. Las fallas de red, las rutas ocultas, los límites de autenticación, la compatibilidad con el navegador no disponible y el contexto de origen incompleto pueden limitar lo que se verificó. Compare puntuaciones solo cuando los módulos, versiones y cobertura seleccionados sean comparables.