Bientôt disponible. Le scan actif vérifié n’est pas encore en vente : l’ouverture se fait espace par espace. Vous pouvez demander l’accès anticipé dès maintenant. Cet article explique comment il fonctionnera, pour vous y préparer.

L’audit passif ne lit que ce que votre domaine montre au monde. Le scan actif vérifié va un cran plus loin : avec une autorisation que vous signez, notre scanner dédié envoie de vraies requêtes de test aux applications web que vous choisissez (Nuclei, puis OWASP ZAP), connecté avec un compte de test si vous le souhaitez, et vous dit quels soupçons de l’audit sont confirmés et lesquels ne le sont pas. La page du scan actif le décrit en détail.

Avant de commencer

Le domaine doit être prouvé par son enregistrement TXT. Un domaine en aperçu ne peut pas être scanné activement.
Seuls les propriétaires et les administrateurs de l’espace peuvent signer une autorisation. Les membres peuvent lancer un scan une fois une autorisation en vigueur ; les lecteurs ne le peuvent pas.
Préparez un compte de test si vous voulez tester derrière la connexion : un compte créé pour l’occasion, sans données de vrais clients, jamais un administrateur de production.
Prévenez votre hébergeur ou votre équipe sécurité avant le premier scan s’ils surveillent les attaques. Les requêtes viennent d’une adresse publiée, avec l’agent utilisateur PerimetryActive/1.0.
Pour le site d’un client, obtenez son accord écrit avant de signer.

Signer une autorisation

Ouvrez le domaine et cliquez sur Ouvrir le scan actif, puis sur Signer une autorisation.
Confirmez que c’est bien vous, avec votre mot de passe ou une clé d’accès.
Choisissez les hôtes : le domaine et jusqu’à 20 de ses sous-domaines, jamais une adresse IP ni un autre domaine. Chaque hôte est montré avec les adresses vers lesquelles il pointe : en signant, vous confirmez que les serveurs à ces adresses peuvent aussi être testés (les vôtres, ou exploités pour vous).
Ajoutez les chemins à ne jamais demander, un par ligne, commençant par /. Les pages de déconnexion, de suppression, de paiement et de changement de mot de passe sont de toute façon toujours laissées de côté.
Choisissez les moteurs (Nuclei, ZAP ou les deux) et le débit, de 1 à 20 requêtes par seconde.
Fixez le créneau : le premier et le dernier jour (90 jours au plus), les jours de la semaine, les heures et le fuseau horaire.
Si vous le souhaitez, ajoutez le compte de test : un en-tête (jeton ou cookie de session) ou un formulaire de connexion avec son adresse, ses champs et un signe qui montre que vous êtes connecté.
Indiquez votre nom, votre fonction et votre organisation, lisez le texte de l’autorisation, cochez la case et cliquez sur Signer l’autorisation.

Le texte exact que vous avez signé est conservé avec sa version et son empreinte, et la signature est inscrite dans le journal d’activité.

Lancer un scan

Cliquez sur Lancer un scan actif. Dans le créneau, le scan démarre en moins d’une minute ; en dehors, il attend l’ouverture du créneau. Un scan dure 4 heures au plus. Vous pouvez lancer 3 scans par domaine et par jour ; l’option comprend 4 scans complets par mois et par domaine.

Vous pouvez arrêter un scan à tout moment depuis sa page.

Lire les résultats

Chaque constat indique le moteur qui l’a trouvé, sa gravité, l’adresse concernée et une preuve courte. Les cookies, jetons, mots de passe, adresses e-mail et votre compte de test sont retirés de la preuve avant d’être enregistrés.

Sous les constats, ceux du dernier audit passif sont rapprochés du scan :

Confirmé : le test actif l’a reproduit. Corrigez-le en premier.
Non reproduit : le test ne l’a pas déclenché. Il est peut-être bloqué par un pare-feu ou un correctif ; vérifiez avant d’accepter le risque.
Non testé : aucun test du scan ne le couvrait.

Révoquer une autorisation

Cliquez sur Révoquer sur l’autorisation. Un scan en cours s’arrête en quelques minutes, et les identifiants du compte de test sont effacés. Une autorisation prend aussi fin d’elle-même à la fin de son créneau, au bout de 90 jours au plus, ou quand le domaine n’est plus prouvé.

Ce que le scan ne fait jamais

Il n’essaie jamais de faire tomber un service, ne devine jamais de mot de passe et ne fait jamais d’action destructive. Il ne se connecte qu’aux hôtes et aux adresses que vous avez signés, sur les ports 80, 443, 8080 et 8443, jamais à des adresses privées ou réservées, et il s’arrête de lui-même s’il perd le contact avec l’application pendant 5 minutes.

Prix

49 € HT par mois et par domaine (490 € HT par an), à partir de l’offre Solo. Agency inclut 1 domaine et Agency Plus 3. Non disponible dans l’offre Free. Jusqu’à 20 hôtes et 4 scans complets par mois et par domaine.