1. Autorisation avant tout
Aucun contrôle ne démarre sans preuve de propriété : enregistrement DNS ou fichier HTTPS pour un site, application GitHub vérifiée pour un dépôt, connexion en lecture seule pour une base. L'autorisation est horodatée, révocable et vérifiée à nouveau à chaque analyse.
2. Lecture seule par défaut
Les contrôles utilisent des requêtes GET, HEAD et OPTIONS, cadencées et limitées en volume. Les audits de bases de données lisent le catalogue et les règles d'accès, jamais vos données. Le navigateur réel est confiné au domaine prouvé.
3. Une preuve pour chaque faille
Une faille n'est signalée que si elle est rejouée : la requête et la réponse (ou l'emplacement exact dans le code) sont conservés comme preuve, avec les secrets masqués. Un résultat incertain est marqué non concluant, jamais présenté comme sûr ni comme dangereux.
4. Correction préparée, jamais imposée
Hackaiz prépare la correction : pull request GitHub que vous relisez et fusionnez vous-même, ou guide de correction pour ce qui ne peut pas être automatisé. Aucune fusion automatique, aucune modification directe de vos sites ou bases.
5. Revérification et surveillance
Après correction, un nouveau contrôle confirme que la preuve a disparu ; pour le code, les tests de votre dépôt et la preuve de déploiement sont pris en compte. Avec votre accord, la surveillance relance l'analyse quand quelque chose change.
Ce que Hackaiz ne fait jamais
- Aucun test destructif : pas de déni de service, pas de suppression ni modification de données.
- Aucune analyse sans preuve de propriété ni autorisation enregistrée.
- Aucune faille inventée ni gonflée : un résultat propre est annoncé comme tel.
- Aucune fusion automatique, aucune écriture sans votre accord explicite.
- Aucune donnée de client identifiable dans les statistiques publiques : seulement des agrégats anonymisés.