Вопросы и ответы

Dependabot следит только за уязвимыми библиотеками. Мы проверяем и их, и сам код: забытые ключи и пароли, SQL-инъекции, XSS, открытые базы. А с динамической атакой ещё и запускаем приложение и пробуем его взломать.

Обычно пару минут. Динамическая атака идёт дольше — пришлём письмо, когда отчёт будет готов.

Нет. Мы собираем копию вашего приложения у себя, запускаем её в закрытой среде и атакуем именно копию. Ваши серверы и чужие сайты мы не трогаем.

Нет. Это автоматическая проверка, а не заключение аудитора и не гарантия, что дыр нет. Она может ошибиться в обе стороны: найти то, чего нет, или пропустить настоящую уязвимость. Что и как исправлять, решаете вы.

Да. Войдите через хостинг, где лежит код, и разрешите Holefy читать нужные репозитории — хостинг сам спросит. Доступ только на чтение. Проверки запускаете вы сами или автопроверка, если вы её включили. Отозвать доступ можно в настройках хостинга, в списке подключённых приложений.

Скачиваем на время проверки и сразу после неё удаляем. Если удалить не получилось из-за сбоя, удалим в течение 30 рабочих дней. Обучать на вашем коде модели мы не будем.

Найденные проблемы и куски кода вокруг них, до 20 строк. Ключи и пароли в отчёт не попадают — показываем только, где они лежат.

Полный отчёт видите только вы — и те, кому вы сами дали ссылку на него. Её можно отключить в любой момент.

У проверок публичных репозиториев оценка и число находок попадают в общую ленту и на страницу репозитория вида holefy.ru/github/владелец/репо. Самих находок там нет. Свою проверку из ленты можно убрать.

Оператор сервиса может открыть ваш аккаунт в режиме «только просмотр», чтобы помочь с проблемой. Каждый такой вход записывается в журнал.

Только кусок кода рядом с находкой, и только когда вы нажали «Объяснить» или «Промпт для исправления». Ключи и пароли в нём скрыты. Для приватных репозиториев нужно ещё поставить галочку согласия. Фрагменты уходят в Yandex AI Studio, а если он недоступен — в Cloud.ru, оба в России.

Лучше их там не держать. Если они окажутся рядом с находкой, то попадут во фрагмент в отчёте и, если вы попросите объяснение, — к языковой модели. Подробнее — в Политике конфиденциальности.

Только тем, без кого сервис не работает: Robokassa — платежи, «Мой налог» — чеки, хостинг-провайдер, почтовый сервис, Yandex AI Studio и Cloud.ru — объяснения находок, Яндекс и DDoS-Guard — капча, Яндекс Метрика — если вы разрешили статистику. Все они в России. За границу данные уходят, только если вы входите через иностранный хостинг кода или включаете push-уведомления в браузере. Полный список — в Политике конфиденциальности.

Всё идёт по HTTPS. Пароли храним только в виде хеша, токены хостингов — зашифрованными. Проверки идут в закрытой среде, отдельно от данных других пользователей. Доступ к серверам есть только у оператора.

Необходимые: вход в аккаунт, защита от подделки запросов, «запомнить меня», метка устройства для бесплатного лимита, тема оформления, боковая панель и ваш выбор по статистике. Яндекс Метрику подключаем только с вашего согласия, рекламы нет. Подробнее и кнопка, чтобы передумать, — на странице Файлы cookie.

Без входа — 3 проверки публичных репозиториев за 7 дней: оценка и треть самых опасных находок.

После входа (тариф Free) — 500 токенов за последние 30 дней на проверки любых репозиториев с полным отчётом. Плюс одна пробная динамическая атака, из её находок покажем треть самых опасных.

Обычная — 100 токенов, с динамической атакой — ещё 200. Публичные и приватные репозитории стоят одинаково. ИИ-помощник — объяснение находки и промпт для исправления — есть в подписке Starter и Pro и оплачивается отдельно, цена написана на кнопке.

Ими оплачиваются проверки. Токены дают тарифы: Free — за последние 30 дней, подписка — на каждый оплаченный месяц. Кредиты покупаются отдельно, живут 12 месяцев и тратятся, когда токены кончились. Перед этим спросим, если вы не включили списание без вопросов. Это не деньги и не криптовалюта.

Starter — 349 ₽ в месяц, 3 000 токенов. Pro — 1 390 ₽ в месяц, 15 000 токенов. За любые 7 дней подряд можно потратить не больше 35 % месячных токенов. Неистраченные токены на следующий месяц не переходят. Подробнее — на странице Тарифы.

Картой через Robokassa прямо на сайте. Данные карты вводятся на стороне Robokassa — мы их не видим и не храним.

Первый месяц оплачиваете при оформлении, дальше деньги списываются сами раз в месяц, в тот же день. За 3 дня до списания пришлём письмо с суммой и датой.

Попробуем ещё через 1, 3 и 7 дней, тариф всё это время работает. Если не пройдёт и последняя попытка, подписка закончится и больше мы ничего не спишем.

В «Баланс и подписка» нажмите «Отключить автопродление». Тариф доработает оплаченный месяц, больше списаний не будет. До конца месяца можно передумать и включить снова.

Да:

• Остаток подписки. Напишите на info@holefy.ru — подписка закончится сразу, а вернём меньшую из двух долей цены: оставшихся дней или неистраченных токенов.
• Неистраченные кредиты. Вернём деньгами по запросу, за вычетом уже оказанных услуг.
• Проверка сорвалась по нашей вине. Токены или кредиты вернутся на баланс сами.
• Динамическая атака не состоялась — приложение не собралось или не запустилось. Доплата за неё вернётся на баланс сама, обычная проверка остаётся оплаченной.
• Деньги списались, а услугу оказать нельзя — например, подписка уже закончилась. Вернём всё сами.

Деньги приходят на ту же карту, обычно за несколько дней, самое позднее — за 10 рабочих дней.

Чек на каждый платёж и возврат приходит из «Мой налог» на email, который вы указали при оплате.

Через GitHub, GitLab, Bitbucket, GitVerse, GitFlic или по email и паролю. Советуем включить двухфакторную аутентификацию в разделе «Безопасность».

Нет: один человек — один аккаунт. Несколько аккаунтов ради бесплатных лимитов — нарушение Правил использования.

В настройках профиля, внизу страницы. Вместе с ним удалятся история проверок, отчёты и подключения к хостингам. Платёжные записи храним столько, сколько требует закон. Если была подписка, вернём деньги за остаток месяца.

• свои репозитории и те, в которых вы участвуете;
• открытые проекты — чтобы решить, брать ли их, или помочь авторам;
• код, который вам поручил проверить владелец, например заказчик или работодатель.

Нашли проблему в чужом открытом проекте — сообщите авторам приватно, по их правилам. Обычно они написаны в файле SECURITY.md.

• проверять код, на который у вас нет прав: чужие приватные репозитории без согласия владельца, утёкший код;
• использовать отчёты во вред: для атак, шантажа, публикации чужих уязвимостей до исправления;
• атаковать сам Holefy: выбираться из песочницы, лезть в чужие проверки, загружать вредоносный код;
• гонять на нас посторонние вычисления: майнинг, рассылки, прокси;
• обходить лимиты: несколько аккаунтов, смена устройств и адресов;
• перепродавать доступ или результаты проверок без договора с нами.

Подробнее — в Правилах использования.

Да, своим — с командой и заказчиком. В отчёте есть кнопка «Поделиться»: она даёт ссылку, которую можно отключить.

Напишите на info@holefy.ru — разберёмся и ответим за 3 рабочих дня.

Спасибо! Напишите на info@holefy.ru — что нашли и как воспроизвести. Ответим за 3 рабочих дня. Как сообщать и что входит — на странице Сообщить об уязвимости.

Если она сорвалась по нашей вине, токены или кредиты вернутся на баланс сами. Если что-то выглядит странно, напишите в поддержку.

Напишите на info@holefy.ru. Отвечаем до 10 рабочих дней, по жалобам на проверку чужого кода — до 3.