Scope — границы работ: какие хосты, приложения, аккаунты, типы тестов разрешены/запрещены, окна времени. Всё вне scope не трогают. Чёткий scope защищает и заказчика, и исполнителя юридически.
Разбор
- Включают URL, IP ranges, mobile apps, API.
- Исключения: prod payment, третьи SaaS без разрешения.
- Меняется только письменно.
- Discovery вне scope — инцидент, не «инициатива».
Итог
Scope = карта разрешённого; вне её тестер не работает.