Comment la note et la lettre sont calculées
La note part de 100 et perd 30, 12, 5 ou 1 point par constat critique, élevé, moyen ou faible, les répétitions comptant pour un quart. Lettres de A à F.
Chaque audit donne au domaine une note sur 100 et une lettre de A à F. La note sert à suivre les progrès dans le temps et à classer ce qu’il faut corriger d’abord. Ce n’est pas une certification : une note parfaite ne veut pas dire que rien ne peut arriver.
Comment la note est calculée
La note part de 100. Chaque constat ouvert retire des points selon sa gravité :
| Gravité | Points retirés |
|---|---|
| Critique | 30 |
| Élevé | 12 |
| Moyen | 5 |
| Faible | 1 |
| Info | 0 |
Un même type de constat compte entièrement une fois, puis pour un quart à chaque répétition. Quand dix hôtes n’ont pas le même en-tête de sécurité, le premier coûte tout son poids et chacun des neuf autres un quart, pour qu’un seul réglage oublié, répété sur un grand site, ne fasse pas couler toute la note. Un type de constat correspond à un contrôle (l’identifiant affiché sous chaque constat) ; son occurrence la plus grave est celle qui compte entièrement.
Le total est arrondi, et la note ne descend jamais sous 0.
Les lettres
| Lettre | Note |
|---|---|
| A | 90 et plus |
| B | de 75 à 89 |
| C | de 60 à 74 |
| D | de 40 à 59 |
| F | moins de 40 |
Un exemple
Un domaine n’a pas de politique DMARC (élevé), il manque le même en-tête de sécurité sur quatre hôtes (moyen) et il n’a pas d’enregistrement CAA (faible) :
- la politique DMARC absente : 12 points ;
- l’en-tête : 5 points pour le premier hôte, puis 1,25 pour chacun des trois autres, soit 8,75 ;
- l’enregistrement CAA : 1 point.
100 − 12 − 8,75 − 1 = 78,25 : la note est donc 78, lettre B. Publier l’enregistrement DMARC suffirait à la porter à 90, lettre A.
Note par famille et simulateur
Sur la page d’un domaine, Note par famille applique la même formule à chaque famille de contrôles prise seule : e-mail, web, DNS, exposition, marque et certificats, et autres. Une famille à 100 n’a rien d’ouvert ; la plus basse est celle où se perdent les points.
La carte Simuler liste les types de constats qui font regagner le plus de points. Cochez ceux que vous comptez corriger : elle montre la note et la lettre qu’aurait le domaine, comptées exactement comme l’audit les compte, avant que vous changiez quoi que ce soit.
Ce qui ne compte pas
- Les constats acceptés. Un constat accepté comme risque est laissé hors de la note jusqu’à l’échéance ou la clôture de l’acceptation. Le badge public indique combien de risques vous avez acceptés.
- Les constats « info ». Ils ne pèsent rien.
Pourquoi la note bouge
La note suit les audits : elle change quand un constat apparaît ou est corrigé, et quand un constat est accepté ou que son acceptation prend fin. « Vérifier si c’est corrigé » vous dit en quelques secondes si une correction a marché, mais la note elle-même est mise à jour au prochain audit complet (utilisez Auditer maintenant si vous ne voulez pas attendre).
Un test rapide lancé avant la preuve de propriété ne note que les contrôles publics : le premier audit complet peut donc donner une note plus basse, car il regarde plus loin.
La note ailleurs dans l’application
- Le tableau de bord montre la posture de votre espace : la note moyenne de vos domaines prouvés, son évolution sur 30 jours, et ce qu’elle serait une fois les trois premières actions faites.
- À faire en premier, sur le tableau de bord, classe les corrections selon les points qu’elles feraient regagner, avec ce même calcul.
- Les fournisseurs et les prospects reçoivent une note calculée de la même façon, à partir des seuls contrôles publics.