Avec les offres Agency, la page Avant mise en ligne contrôle un site que vous êtes sur le point de livrer, souvent encore sur un hôte de préproduction, tel qu’un attaquant le verra une fois en ligne. Vous obtenez un verdict, une liste de mise en ligne et les corrections à faire.

Contrôler un site

Ouvrez Avant mise en ligne et saisissez l’hôte du site, par exemple preprod.boutique-client.fr ou www.boutique-client.fr. Ajoutez un nom et un client si vous le souhaitez.
Appuyez sur Continuer.
Si l’un de vos domaines vérifiés couvre l’hôte (le domaine lui-même ou l’un de ses sous-domaines), le contrôle part tout de suite.
Sinon, prouvez que vous gérez le site : placez un fichier texte à l’adresse https://<hôte>/.well-known/perimetry-cloud.txt contenant exactement la ligne affichée sur la page, puis appuyez sur Contrôler maintenant. Vous pourrez retirer le fichier ensuite.

Le contrôle prend deux à cinq minutes. Vous pouvez en lancer 30 par période de 30 jours avec Agency et 100 avec Agency Plus ; un hôte qui n’a pas pu être prouvé ne compte pas. Les lecteurs ne peuvent pas en lancer.

Si le site de préproduction demande un mot de passe, ouvrez-le au public le temps du contrôle, ou laissez passer notre robot (son agent commence par PerimetryCloud-Launch).

Ce qui est contrôlé

Seulement l’hôte saisi, pas le reste du domaine, qui peut encore être l’ancien site :

HTTPS, le certificat et les versions de TLS ;
les en-têtes de sécurité, la politique de sécurité du contenu (CSP) et les attributs des cookies ;
les versions de logiciels montrées aux visiteurs ;
les scripts tiers (leur origine et leur intégrité), les bibliothèques JavaScript obsolètes et le contenu mixte ;
les formulaires de connexion envoyés en HTTPS ;
les fichiers et pages d’administration restés accessibles (.env, sauvegardes, .git, exports de base de données, panneaux d’administration) ;
WordPress : XML-RPC, liste des utilisateurs, listage des dossiers et extensions aux vulnérabilités connues ;
les traceurs chargés avant le consentement, et security.txt.

Rien n’est modifié sur le site : nous lisons ses pages, ses en-têtes et une liste de chemins de fichiers connus.

Lire le résultat

Pas prêt : au moins un constat critique ou élevé. Corrigez-le avant la mise en ligne.
Prêt, avec des corrections à prévoir : seulement des constats moyens. Rien ne bloque la mise en ligne, mais prévoyez les corrections dans les jours qui suivent.
Prêt à mettre en ligne : seulement des remarques et des améliorations.

La liste de mise en ligne marque chaque point OK, À améliorer, À corriger ou Sans objet (les points WordPress sur un autre type de site). Sous Ce qu’il faut corriger, les constats sont groupés en bloquants, à corriger après la mise en ligne et remarques, chacun avec sa correction.

Corrigez, puis appuyez sur Contrôler à nouveau pour confirmer avant de livrer. Une fois le site en ligne sur un domaine que vous suivez, ses audits complets prennent le relais.

Les contrôles sont gardés 90 jours. Retirer en supprime un.