İşbu Beyan, [satın alma sırasında doldurulur] ([satın alma sırasında doldurulur]) ("Müşteri") tarafından [ŞİRKET UNVANI] ("Siper" veya "Hizmet Sağlayıcı") lehine, aşağıda kapsamı belirtilen varlıklar üzerinde otomatik güvenlik taraması yapılmasına izin vermek ve taramanın kurallarını (Rules of Engagement) belirlemek amacıyla verilmiştir. Bu Beyan verilmeden hiçbir tarama başlatılmaz.
1. Yetki beyanı
Müşteri, aşağıdaki hususları gerçeğe uygun olarak beyan ve taahhüt eder:
- Kapsamdaki her varlığın (alan adı, alt alan adları, sunucular, uygulama dosyaları) maliki olduğunu veya maliki tarafından bu varlıkları güvenlik testine tabi tutturmak için yazılı ve geçerli olarak yetkilendirildiğini,
- Bir tüzel kişi adına hareket ediyorsa, o tüzel kişi adına bu Beyan'ı vermeye yetkili olduğunu,
- Yüklediği APK/EXE dosyalarının hak sahibi olduğunu veya bu dosyaları güvenlik analizi amacıyla inceletmeye hukuken yetkili bulunduğunu (5846 sayılı FSEK ve lisans sözleşmeleri dahil),
- Yetki belgelerini (ör. sahiplik kaydı, müşteri ile yapılmış test sözleşmesi, yetki yazısı) saklayacağını ve Hizmet Sağlayıcı'nın talebi üzerine 3 iş günü içinde ibraz edeceğini,
- Yetkisinin herhangi bir nedenle sona ermesi hâlinde bunu derhâl bildireceğini ve ilgili varlığı hesabından kaldıracağını.
DNS veya dosya yöntemiyle yapılan teknik sahiplik doğrulaması, Hizmet Sağlayıcı'nın aldığı bir güvenlik önlemidir; Müşteri'nin hukuki yetki beyanının yerine geçmez ve Müşteri'yi bu Beyan'dan doğan sorumluluktan kurtarmaz.
2. Kapsam (taranacak varlıklar)
Kapsam, Müşteri'nin Siper hesabına eklediği ve (web varlıkları için) sahipliğini doğruladığı varlıklardan oluşur. Hesaba sonradan eklenen her varlık, eklendiği anda bu Beyan'ın kapsamına girer ve Müşteri bu Beyan'ı o varlık için de tekrarlamış sayılır.
Kapsam, yalnızca yukarıdaki varlıklarla ve web varlıklarında bildirilen adresin kendisiyle sınırlıdır. Bağlantı verilen üçüncü taraf alan adları, ödeme sayfaları, harici servisler ve kapsamda açıkça yer almayan IP adresleri kapsam dışıdır ve taranmaz.
3. İzin verilen test yöntemleri
- HTTP/HTTPS isteği ile herkese açık sayfa ve başlıkların incelenmesi; TLS protokol ve sertifika yapılandırmasının değerlendirilmesi.
- DNS, SPF, DKIM, DMARC, CAA kayıtlarının sorgulanması; herkese açık bilgi kaynaklarından (sertifika şeffaflık kayıtları, CVE/CISA KEV veri tabanları) istihbarat eşleştirmesi.
- Yaygın hassas dosya ve dizin yollarına (ör. yedek dosyalar, yapılandırma dosyaları, yönetim panelleri) yalnızca okuma amaçlı istek gönderilmesi.
- Yazılım ve sürüm parmak izi çıkarılarak bilinen açıklarla eşleştirilmesi.
- APK ve EXE dosyalarının çalıştırılmadan statik analizi (izinler, imza, gömülü sırlar, güvensiz yapılandırma, bağımlılıklar).
- İstek hızı saniyede yaklaşık 5 istek ile sınırlıdır; istekler "SiperScanner/1.0 (+https://siper.birebirsoft.com/tarayici)" kullanıcı aracısı ile tanınabilir biçimde gönderilir. Kaynak IP adresleri talep hâlinde bildirilir.
4. Kesinlikle yapılmayacak işlemler (hariç tutulanlar)
- Hizmet engelleme (DoS/DDoS), yük veya stres testi.
- Açıkların istismar edilmesi, yetki yükseltme, yanal hareket, kalıcılık sağlama.
- Kaba kuvvet, parola deneme, kimlik bilgisi doldurma (credential stuffing).
- Form doldurma, veri ekleme, değiştirme veya silme; ödeme ya da sipariş akışlarının tetiklenmesi.
- Sosyal mühendislik, oltalama (phishing), fiziksel güvenlik testleri.
- Kişisel veya gizli verilerin indirilmesi, kopyalanması veya sızdırılması (data exfiltration). Herkese açık hassas bir dosya tespit edilirse yalnızca varlığı ve erişilebilirliği raporlanır; içeriği saklanmaz.
- Yüklenen dosyaların ağ erişimli bir ortamda çalıştırılması.
5. Zaman penceresi
Müşteri, taramanın başlatıldığı andan tamamlanmasına kadar geçen süre içinde ve her hâlde başlatma anından itibaren 72 saat boyunca kapsamdaki varlıklara otomatik test isteği gönderilmesine izin verir. Belirli bir zaman aralığında (ör. mesai dışı) tarama yapılmasını isteyen Müşteri, taramayı o aralıkta başlatır veya talebini [E-POSTA] adresine önceden bildirir.
6. Üçüncü taraf barındırma, CDN ve bulut sağlayıcıları
Varlıklar üçüncü taraf barındırma, bulut (ör. AWS, Azure, Google Cloud), CDN veya WAF sağlayıcıları üzerinde çalışıyorsa, bu sağlayıcıların kabul edilebilir kullanım ve güvenlik testi politikalarını incelemek, gerekiyorsa önceden bildirim yapmak veya izin almak Müşteri'nin sorumluluğundadır. Müşteri ayrıca kendi BT ekibini, SOC/MSSP hizmet sağlayıcısını ve sistem yöneticilerini tarama hakkında bilgilendirir; güvenlik sistemlerinin tarama isteklerini engellemesinden doğan eksik sonuçlar başarısız tarama sayılmaz.
7. Riskler ve önlemler
Müşteri, zarar vermeyen yöntemler kullanılsa da otomatik taramaların güvenlik alarmlarını tetikleyebileceğini, kayıt dosyalarında artışa neden olabileceğini ve çok kırılgan sistemlerde nadiren yavaşlama görülebileceğini bildiğini kabul eder. Müşteri, tarama öncesinde güncel yedeklerini almayı ve kritik üretim sistemleri için uygun zaman penceresini seçmeyi taahhüt eder.
8. Acil durdurma
Taramanın herhangi bir varlıkta beklenmeyen bir etki yarattığı düşünülürse Müşteri; [E-POSTA] adresine "ACİL DURDURMA" konulu e-posta göndererek ya da [TELEFON] numarasını arayarak durdurma talep edebilir. Hizmet Sağlayıcı, talebi aldığında ilgili taramayı makul en kısa sürede durdurur. Hizmet Sağlayıcı da olağan dışı bir yanıt gözlemlediğinde taramayı kendiliğinden durdurma hakkına sahiptir.
9. Cezai sorumluluk bilinci
Müşteri; bir bilişim sistemine hukuka aykırı olarak girilmesinin ve orada kalınmasının 5237 sayılı Türk Ceza Kanunu m.243, sistemin işleyişinin engellenmesi, bozulması ve verilerin değiştirilmesinin m.244, banka veya kredi kartlarının kötüye kullanılmasının m.245 ve kişisel verilerin hukuka aykırı olarak kaydedilmesi ya da ele geçirilmesinin m.135-136 kapsamında suç oluşturduğunu; yetkisi bulunmayan bir varlık için bu Beyan'ı vermesinin ve tarama talep etmesinin kendisini şahsen cezai ve hukuki sorumluluk altına sokacağını bildiğini kabul eder.
10. Tazmin
Müşteri; gerçeğe aykırı beyanı, yetkisinin bulunmaması veya sona ermesi ya da bu Beyan'a aykırı davranması nedeniyle Hizmet Sağlayıcı'ya, yöneticilerine ve çalışanlarına yöneltilebilecek her türlü talep, dava, soruşturma, idari para cezası, tazminat, yargılama gideri ve makul avukatlık ücretini ilk yazılı talepte ve herhangi bir mahkeme kararı aranmaksızın tazmin edeceğini; Hizmet Sağlayıcı'nın bu hâllerde taramaları durdurma, hesabı askıya alma ve ilgili kayıtları yetkili makamlarla paylaşma hakkı bulunduğunu kabul eder.
11. Sonuçların gizliliği ve kişisel veriler
Tarama sonuçları yalnızca Müşteri hesabında ve yetkili Hizmet Sağlayıcı personeline açıktır. Tarama sırasında kişisel verilere rastlanması hâlinde bu veriler 6698 sayılı KVKK ve Veri İşleme ve Gizlilik Taahhüdü uyarınca veri işleyen sıfatıyla, yalnızca raporlama amacıyla ve asgari ölçüde işlenir.
12. Yürürlük
İşbu Beyan, elektronik ortamda onaylandığı anda yürürlüğe girer; hesaba eklenen her yeni varlık için de geçerlidir ve Müşteri yetkisinin sona erdiğini bildirene veya hesabını kapatana kadar yürürlükte kalır. Onay; tarih, IP adresi, tarayıcı bilgisi ve metnin SHA-256 özeti ile kayıt altına alınır.