Limites et engagements

Une capacité n'est « livrée » que lorsqu'elle est prouvée dans l'environnement visé. Ce qui suit est absent, partiel ou non prouvé, et le reste tant que cette page le dit.

Périmètre#

• Le pentest externe teste des URL HTTP(S) exactes sur IPv4. Le domaine externe complet, les exclusions typées et les limites réseau personnalisées ne sont pas proposés en externe.
• Les adresses IP nues, les dépôts Git, le code uploadé et les pipelines CI ne sont pas testés.
• Le scan interne teste l'application nommée dans le mandat, pas « tout le réseau ». Il doit être activé par SpectrAI sur l'espace client.
• Les exclusions explicites d'une cible, les éléments hors périmètre de la Guidance, les chemins exclus, le débit demandé et le mode prudent sont des consignes de test, pas une politique réseau. Seuls les URL autorisées (externe) et le mandat (interne) sont appliqués au niveau réseau.

Autorisation#

• L'attestation acceptée au lancement ne remplace pas une autorisation juridique signée distincte entre vous et le propriétaire de l'application. Ce workflow n'est pas livré.

Retests#

• Un retest publie un résultat non concluant quand le finding n'est pas retrouvé ; il ne vérifie pas le correctif. Aucun verdict « correction vérifiée » n'est émis.
• Après épuisement des deux lots ou fermeture de la fenêtre de soixante jours, aucune correction supplémentaire n'est testée gratuitement.

Comptes de test et données#

• Les comptes de test transitent en clair dans le moteur de test et le modèle pendant l'exécution ; aucun effacement chez le fournisseur ni sur les supports ne peut être promis.
• Une purge confirmée ne prouve pas l'effacement des sauvegardes ni des systèmes des sous-traitants.

Modèles et couverture#

• Les profils de modèles n'exigent pas que le fournisseur ne conserve rien ; aucune région d'inférence européenne n'est attestée ; le mot « souverain » n'est pas employé.
• Les plafonds de consommation et de durée sont des garde-fous internes : ni coût strict garanti, ni couverture exhaustive, ni absence de faux positifs.

Conformité#

• L'index NIS2, le CVSS et le CWE structurent le livrable. Ils ne remplacent ni un audit réglementaire, ni une qualification, ni une certification.

Exploitation#

• La plateforme exécute les pentests l'un après l'autre ; une file d'attente est possible.
• Le domaine personnalisé d'un partenaire est livré dans le code et activé manuellement ; aucun domaine partenaire réel n'a encore été exercé de bout en bout.

Facturation#

• Aucun remboursement n'est effectué depuis l'application. Un litige place le contrat en vérification, résolue par un opérateur avec justification.

Voir aussi Données et confidentialité et les conditions d'utilisation.