Votre hébergeur, votre cabinet comptable, votre prestataire de paiement ou de messagerie : leurs faiblesses peuvent devenir les vôtres. NIS2 vous demande de veiller à la sécurité de votre chaîne d’approvisionnement (article 21(2)(d)). La page Fournisseurs suit leurs domaines chaque semaine, avec les seuls contrôles publics, et vous prévient quand la situation se dégrade.

Ajouter un fournisseur

Ouvrez Fournisseurs et allez à Ajouter un fournisseur.
Saisissez le domaine du fournisseur (hebergeur-acme.fr) et, si vous le souhaitez, un nom.
Appuyez sur Ajouter. Le premier contrôle prend quelques minutes.

Seuls les propriétaires et les administrateurs peuvent ajouter ou retirer des fournisseurs. Chaque offre en comprend un certain nombre : 3 avec Free, 10 avec Solo, 50 avec Agency, 200 avec Agency Plus. Vous pouvez ajouter jusqu’à vingt nouveaux fournisseurs par jour.

Les services trouvés dans votre DNS

Sous la liste, Services que vous utilisez montre les sociétés que révèlent les audits de vos domaines prouvés : qui gère vos boîtes de messagerie (enregistrements MX) et votre DNS (serveurs de noms), qui peut envoyer des e-mails en votre nom (les include: de votre enregistrement SPF), vers où pointent vos sous-domaines (CNAME), auprès de quels outils vous avez vérifié votre domaine (enregistrements TXT de vérification) et quels scripts tiers charge votre page d’accueil. Suivre comme fournisseur l’ajoute en un clic. La liste suit chaque audit ; rien d’autre n’est consulté.

Ce qui est contrôlé

Un fournisseur reçoit les mêmes contrôles publics que le test gratuit : authentification des e-mails, DNS, certificats, serveurs de messagerie et sites, ce que n’importe qui sur Internet peut lire. Rien qui demande son accord : ni recherche de sosies, ni recherche de fichiers sensibles, ni archives, ni fuites, comme pour tout domaine dont le propriétaire n’a pas fait la preuve. Les constats dont le détail pourrait aider un attaquant ne sont nommés que par leur famille.

Chaque fournisseur est contrôlé une fois par semaine. Le tableau montre sa note (et son évolution depuis le contrôle précédent), ses constats les plus graves et la date du dernier contrôle.

Au-delà de votre offre

Si votre espace passe à une offre qui comprend moins de fournisseurs (par exemple de Solo à Free), les fournisseurs ajoutés en premier continuent d’être contrôlés, jusqu’au nombre de la nouvelle offre. Les autres restent dans le tableau avec leur dernière note, marqués Plus à jour avec la date de leur dernier contrôle : cette note ne bouge plus et aucune alerte n’est envoyée pour eux. Un avis en haut de la page les compte et renvoie vers les offres. Retirez des fournisseurs, ou passez à une offre plus grande, et ils sont de nouveau contrôlés dans la semaine.

Les alertes

Vous êtes prévenu quand la note d’un fournisseur baisse de 10 points ou plus, ou quand un problème critique apparaît alors qu’il n’y était pas. L’alerte va aux canaux de la page Alertes qui ne sont pas réservés à un client.

Prévenir votre fournisseur

Chaque fournisseur a un lien L’inviter à lui envoyer : il ouvre le test gratuit de son domaine. Une fois qu’il a créé un compte et prouvé que le domaine est à lui, il voit chaque constat et comment le corriger. Vous ne voyez jamais plus que les contrôles publics.

Envoyer un questionnaire de sécurité

À partir de l’offre Solo, ouvrez un fournisseur (cliquez sur son nom dans le tableau) et allez à Envoyer un questionnaire de sécurité :

Saisissez le nom et l’adresse e-mail de votre contact chez le fournisseur, la langue du questionnaire (français, anglais ou allemand) et l’échéance, entre 3 et 90 jours. L’adresse doit être sur le domaine du fournisseur ou l’un de ses sous-domaines : le questionnaire ne va qu’au fournisseur. Un fournisseur suivi sous un service de messagerie gratuit (gmail.com, outlook.com, orange.fr…) ne peut pas en recevoir : ajoutez-le sous le domaine propre de son entreprise.
Si vous le souhaitez, ajoutez un court message personnel : 300 caractères et 5 lignes au plus, en texte brut, sans adresse web, nom de domaine, adresse e-mail ni numéro de téléphone. Il est cité dans l’e-mail, et dans les relances, comme un message de votre espace.
Appuyez sur Envoyer le questionnaire. Votre contact reçoit un e-mail dans cette langue, au nom de votre espace via Perimetry, avec un lien personnel. S’il répond à l’e-mail, la réponse vous arrive (ou, si vous avez quitté l’espace, à personne). Il n’a besoin d’aucun compte. Un nom d’espace ou de fournisseur qui ressemble à une adresse web ou à un nom de domaine est refusé : renommez-le d’abord.

Une vingtaine de questions courtes portent sur la gouvernance, les accès et l’authentification multifacteur, les sauvegardes, le chiffrement, la sécurité de la messagerie, la gestion des vulnérabilités, les incidents (une alerte sous 24 heures, une notification sous 72 heures), les sous-traitants, la localisation des données, le RGPD et l’accord de traitement des données, les certifications et la continuité. Les réponses sont oui, partiellement ou non, un texte ou une date, chacune avec un commentaire facultatif, et un fichier quand c’est utile (un certificat, la liste des sous-traitants, un accord de traitement) : PDF, PNG ou JPEG, 1,5 Mo au plus.

Pré-rempli avec ce que nous voyons. Là où Perimetry peut voir la réponse de l’extérieur (HTTPS valide, redirection et HSTS, anciennes versions de TLS, en-têtes de sécurité, security.txt, SPF et DMARC), votre fournisseur voit ce qui a été observé en face de la question et la réponse en est pré-remplie : il la confirme ou la corrige. L’authentification multifacteur ne se voit pas de l’extérieur : cette réponse reste vide.

La page enregistre les réponses au fur et à mesure. Le lien fonctionne jusqu’à l’échéance et 7 jours de plus ; une fois les réponses envoyées, elles sont verrouillées. Les relances partent d’elles-mêmes 7 jours après l’envoi et 2 jours avant l’échéance, deux au plus par questionnaire, nouveaux liens compris. Sur la page du fournisseur, Annuler coupe aussitôt le lien d’un questionnaire, et Envoyer un nouveau lien le renvoie (à la même adresse ou à une autre, avec une nouvelle échéance au besoin) : l’ancien lien cesse de fonctionner et ce qui a été saisi est conservé.

Solo comprend 5 questionnaires par mois, Agency 30 et Agency Plus 100. Avec les offres Agency, Voir ou modifier les questions permet de retirer des questions par défaut et d’ajouter les vôtres ; sinon, ce sont les questions par défaut qui partent.

Lire les réponses

Quand un fournisseur envoie ses réponses, la personne qui a envoyé le questionnaire reçoit un e-mail, et les canaux de la page Alertes qui ne sont pas réservés à un client reçoivent un message. La page des réponses montre :

la note des réponses : chaque question oui/non donne 1 point pour Oui, ½ pour Partiellement, 0 pour Non ou sans réponse ; quand ce que Perimetry observe contredit une réponse, c’est l’observé qui compte. Les réponses en texte et en date ne comptent que dans la complétude. 80 ou plus, c’est solide ; de 50 à 79, à discuter ; moins de 50, faible. Elle mesure ce que le fournisseur déclare, pas une certification ;
les écarts : les réponses contredites par ce que Perimetry observe (par exemple « chiffrement en transit : oui » alors que le site n’a pas de HTTPS valide), et une certification déclarée en cours de validité dont la date d’expiration est passée ;
chaque question avec Déclaré par le fournisseur et Observé par Perimetry côte à côte, avec les commentaires et les pièces jointes.

Exportez les réponses en PDF ou en CSV. Les questionnaires font partie de l’export des données de votre espace et sont supprimés avec le fournisseur ou avec l’espace. Les pièces jointes sont gardées 12 mois après l’envoi des réponses ; un lien jamais rendu perd son brouillon et l’adresse de votre contact 30 jours après sa fin.

Pour ne plus suivre un fournisseur, appuyez sur Retirer : ses questionnaires et leurs réponses sont supprimés avec lui.