Bientôt disponible · option par domaine
L’audit passif lit ce que votre domaine montre au monde. Le scan actif va un cran plus loin : avec votre autorisation signée, notre scanner dédié envoie de vraies requêtes de test aux applications web que vous choisissez, connecté avec un compte de test si vous le souhaitez, et vous dit quels soupçons sont confirmés, lesquels ne sont pas reproduits, et ce qu’il a trouvé d’autre.
49 € HT par mois et par domaine · 490 € HT par anÀ partir de l’offre Solo · 1 domaine inclus avec Agency, 3 avec Agency Plus
Ils répondent à des questions différentes. L’audit surveille tous les domaines en permanence sans rien toucher ; le scan actif teste quelques applications, aux dates que vous fixez, pour en avoir le cœur net.
| Audit passif (toutes les offres) | Scan actif vérifié (option) | |
|---|---|---|
| Ce qu’il envoie | Des requêtes ordinaires, comme un visiteur : requêtes DNS, page d’accueil, poignée de main TLS | Des requêtes de test conçues pour déclencher les faiblesses, au débit que vous autorisez |
| Autorisation | Rien à signer : il ne lit que ce qui est public | Une autorisation signée dans l’application, pour un domaine dont vous avez prouvé la propriété |
| Fréquence | Chaque semaine ou chaque jour, sur tous les domaines | Quand vous le lancez, dans votre créneau : 4 scans complets par mois et par domaine |
| Ce qu’il trouve | La configuration du DNS, des e-mails, des certificats, des en-têtes, l’exposition vue des sources publiques | Vulnérabilités connues, panneaux et fichiers exposés, failles d’injection et de cross-site scripting, y compris derrière la connexion |
| Ce que vous obtenez | Des constats, une note et la correction de chacun | Chaque soupçon de l’audit confirmé ou non reproduit, avec une preuve courte |
Le scan actif ne fonctionne que sur un domaine dont vous avez prouvé la propriété avec un enregistrement TXT, la même preuve que pour l’audit.
Un propriétaire ou un administrateur de l’espace choisit les hôtes (jusqu’à 20, le domaine et ses sous-domaines, jamais une adresse IP ni un autre domaine), les chemins à ne jamais demander, les moteurs, le débit (1 à 20 requêtes par seconde), le créneau (jours, heures, fuseau, 90 jours au plus) et, s’il le souhaite, un compte de test. Chaque hôte est montré avec les adresses vers lesquelles il pointe ; le signataire les confirme aussi. La signature redemande votre mot de passe ou une clé d’accès, et le texte exact signé est conservé avec son empreinte.
Notre scanner dédié, sur son propre serveur avec une adresse publiée, lance Nuclei puis OWASP ZAP. Il ne se connecte qu’aux hôtes et aux adresses que vous avez signés, au débit que vous fixez, et s’arrête à la fin du créneau.
Chaque constat arrive avec sa gravité, l’adresse concernée et une preuve courte dont les cookies, jetons, mots de passe et adresses e-mail sont retirés. Les constats de l’audit passif sont marqués confirmés, non reproduits ou non testés, pour corriger d’abord ce qui est réel.
Des modèles pour les vulnérabilités connues (CVE), les mauvaises configurations, les fichiers et panneaux d’administration exposés, et les technologies utilisées, choisis d’après ce que l’audit passif a trouvé. Les modèles qui devinent des mots de passe, essaient les identifiants par défaut, font du fuzzing ou pourraient perturber un service sont écartés.
ZAP explore l’application, analyse chaque page qu’il voit, puis lance son scan actif à force moyenne : injection (SQL, commandes), cross-site scripting, traversée de répertoires, mauvaises configurations du serveur et plus encore. Les règles qui pourraient faire tomber un service sont désactivées.
Donnez un compte de test, sous forme d’en-tête (jeton ou cookie de session) ou de formulaire de connexion, et le scan couvre les pages que seuls les utilisateurs connectés voient. ZAP utilise le formulaire ; Nuclei, l’en-tête.
Un scan actif ne doit jamais devenir un incident. Ces garde-fous sont dans le scanner lui-même, pas laissés aux bonnes intentions.
Une option par domaine, à prix public, en euros, sans devis.
49 € HT par mois et par domaine
ou 490 € HT par an
| Free | Non disponible |
|---|---|
| Solo | En option, 49 € HT par domaine |
| Agency | 1 domaine inclus, puis 49 € HT par domaine |
| Agency Plus | 3 domaines inclus, puis 49 € HT par domaine |
Pas encore en vente : l’ouverture se fait espace par espace. Demandez l’accès anticipé en indiquant votre domaine et votre offre ; nous répondons sous deux jours ouvrés.
Demander l’accès anticipéUne personne qui comprend votre activité trouve des failles qu’aucun scanner ne voit : règles d’accès, logique de paiement, enchaînements de petites faiblesses. Gardez un test annuel par un cabinet qualifié si vous traitez des données sensibles.
Les services tiers, les autres domaines et les adresses IP hors du périmètre signé ne sont jamais testés. Un hôte qui se met à pointer ailleurs après la signature est refusé.
Un scan dure 4 heures au plus et suit les liens qu’il trouve. Les pages qui demandent un parcours particulier dans l’application peuvent ne pas être atteintes.
Demandez l’accès anticipé, ou commencez dès aujourd’hui par l’audit passif gratuit.