Lire un rapport

Chaque audit produit un rapport. La page du domaine montre le dernier ; Rapport complet l’ouvre sur sa propre page, et la carte Historique liste les précédents.

La page du domaine

En haut, l’état du domaine, son rythme d’audit, la date du prochain audit et, quand le registre nous l’indique, la date jusqu’à laquelle le domaine est enregistré et son bureau d’enregistrement. Les boutons :

• Auditer maintenant met un audit en file tout de suite (un par heure avec Free et Solo ; les membres, administrateurs et propriétaires peuvent l’utiliser).
• Rapport complet ouvre le rapport du dernier audit.
• Télécharger le PDF donne le rapport en PDF, à partir de l’offre Solo.

Viennent ensuite la carte Note, avec une jauge et la courbe de la note dans le temps, et l’Historique des audits (chacun indique s’il était programmé, à la demande, un premier audit ou un aperçu). Puis :

• Note par famille : e-mail, web, DNS, exposition, marque et certificats, et autres, chacune avec la note qu’elle aurait seule et ses constats ouverts, pour voir d’un coup d’œil où se perdent les points ;
• Ce qui a changé depuis l’audit précédent ;
• Simuler : cochez les constats que vous comptez corriger et voyez la note et la lettre qu’aurait le domaine (voyez Comment la note est calculée) ;
• À faire en premier, puis tous les constats ;
• Constats ouverts et délai de correction (domaines prouvés), sur l’historique de votre offre : les constats ouverts de chaque audit par gravité, et le délai moyen de correction par gravité, semaine par semaine (mois par mois au-delà de quatre mois d’audits).

Un constat compte comme corrigé quand il a disparu et reste absent à l’audit suivant : un audit manqué (un hôte qui n’a pas répondu) n’est pas une correction, un risque accepté non plus. Son délai court depuis l’audit où il est apparu, si bien qu’un constat déjà là au début de la période compte comme corrigé mais sans délai. C’est la même règle que pour le délai de correction des attestations. Chaque courbe a sa couleur et son tracé ; survolez le graphique, ou placez-y le focus et utilisez les flèches, pour lire chaque date, et Voir les chiffres donne les nombres dans un tableau.

La note par famille et le simulateur ne s’affichent pas pour un test rapide lancé avant la preuve.

Les gravités

Chaque constat a l’une des cinq gravités, signalée par sa couleur :

Gravité	Exemples typiques
Critique	Ce qu’un attaquant peut utiliser tout de suite, comme un enregistrement qui pointe vers un domaine que n’importe qui peut acheter, ou un domaine qui expire dans la semaine.
Élevé	Un manque sérieux, comme une politique DMARC absente, un sous-domaine exposé au détournement ou un port de base de données ouvert sur Internet.
Moyen	Une faiblesse à corriger bientôt, comme DNSSEC non activé ou TLS 1.0 encore accepté.
Faible	Une bonne pratique pas encore suivie, comme l’absence d’enregistrement CAA.
Info	Une chose utile à savoir, qui n’est pas un problème. Elle ne compte pas dans la note.

La note est calculée à partir de ces gravités.

Un constat, élément par élément

Chaque constat tient sur une ligne (sa gravité, son titre et sa cible) tant que vous ne l’ouvrez pas ; le premier est ouvert. Cliquez sur une ligne pour l’ouvrir ou la fermer. Quand un constat a le focus (atteignez-le avec Tab, ou cliquez dessus), J et K passent au constat suivant ou précédent et O l’ouvre ou le ferme. Un lien vers un constat (depuis le tableau de bord ou À faire en premier) l’ouvre directement.

Une fois ouvert, un constat montre :

• Le titre et la cible : ce qui ne va pas, et où (le domaine, un hôte, un serveur de messagerie, une adresse).
• L’explication : pourquoi c’est important, en mots simples.
• Correction : ce qu’il faut changer. Quand un enregistrement DNS le corrige, une boîte Prêt à copier donne l’enregistrement exact, construit pour votre domaine.
• Preuves : ce que l’audit a vu (l’enregistrement, l’en-tête, la réponse du serveur).
• L’identifiant du constat, un lien vers le guide correspondant, et des références.
• Exigences liées : les exigences NIS2, Cyber Essentials et ISO 27001 auxquelles il se rattache, à titre indicatif.
• Actions : « Vérifier si c’est corrigé », « Accepter ce constat », et avec les offres Agency « Appliquer dans votre DNS » et « Ouvrir un ticket ». Voyez Corriger un constat.

Ce qui a changé

Quand un audit diffère du précédent, la carte Ce qui a changé le liste : constats nouveaux et corrigés, sous-domaines apparus ou disparus, ports ouverts ou fermés, serveurs de noms, serveurs de messagerie, changements de DNSSEC, SPF et DMARC, certificats, domaines sosies, stockage cloud, et l’évolution de la note. La liste des domaines signale ces domaines par changements. La chronologie des changements les rassemble pour tous vos domaines.

Ce qui a été observé

En bas du rapport complet, Ce qui a été observé liste les faits à partir desquels les constats ont été établis : serveurs de noms et DNSSEC, serveurs de messagerie, enregistrements SPF et DMARC, nombre de sous-domaines trouvés dans les journaux de certificats, domaines sosies enregistrés, certificats récents. Si un contrôle n’a pas pu aboutir (un serveur qui n’a pas répondu, par exemple), il est nommé là : l’audit suivant réessaie.

Les constats acceptés

Les constats que vous avez acceptés comme risques restent dans le rapport, dans leur propre section Constats acceptés, mais ne comptent plus dans la note. Voyez Accepter un constat comme risque.

Le rapport PDF

À partir de l’offre Solo, Télécharger le PDF donne un rapport à transmettre : une couverture avec le logo du site, son nom, son adresse, la date et la note, un résumé, puis chaque constat avec sa correction, les enregistrements prêts à copier et la correspondance avec les référentiels. Le logo est par défaut l’icône du site ; téléversez-en un autre dans les réglages du domaine. Avec les offres Agency, votre propre logo figure sur chaque rapport (« Préparé par »), réglé dans les Réglages. Le PDF est dans la langue de l’espace.