Un audit lit ce que n’importe qui sur Internet peut déjà lire de votre domaine, comme commencerait un attaquant : le DNS, les journaux de certificats, les réponses que vos serveurs donnent à chaque visiteur, des bases publiques. Il dure une à deux minutes, n’attaque rien, et chaque contrôle est open source.
Six familles de contrôles démarrent ensemble sur le domaine lui-même ; les autres s’appuient sur ce qu’ils ont trouvé. Les barres montrent la part habituelle du temps de chaque étape.
Phase 1 · en parallèle
Serveurs de noms, DNSSEC (absent ou cassé), CAA, enregistrements génériques.
SPF compté à travers chaque include, DKIM sur 54 sélecteurs courants, DMARC, MTA-STS, rapports TLS.
Les noms trouvés dans les journaux Certificate Transparency, puis résolus un par un.
Jusqu’à 300 variantes de typosquatting : lesquelles sont enregistrées, avec messagerie ou site, et depuis quand.
Les buckets qui portent le nom du domaine sur S3, Google Cloud Storage et Azure.
Date d’expiration et bureau d’enregistrement, lus dans le registre.
Phase 2 · l’une après l’autre
Les certificats émis récemment, et si chaque émetteur est autorisé par votre enregistrement CAA.
Pour chaque hôte MX : STARTTLS, la négociation TLS, le certificat, DANE.
Le domaine, www et chaque sous-domaine actif, résolus en adresses.
Les CNAME qui pointent vers des ressources supprimées chez 26 fournisseurs, ou vers des domaines non enregistrés ; les délégations orphelines.
HTTPS et HSTS, en-têtes de sécurité et qualité de la CSP, cookies, bibliothèques obsolètes, extensions WordPress.
Ports ouverts et vulnérabilités connues d’après les données existantes de Shodan, classés avec CISA KEV et EPSS.
Le domaine et ses adresses de messagerie et web dans les listes de blocage de Spamhaus.
Chaque constat est ensuite comparé à l’audit précédent : nouveaux problèmes, problèmes corrigés, nouveaux sous-domaines, nouveaux certificats, nouveaux sosies. C’est de cette comparaison que sont faites vos alertes.
Rien de ce que fait un audit ne paraîtrait inhabituel dans vos journaux : quelques requêtes DNS, une page d’accueil chargée, un serveur de messagerie salué. C’est aussi pourquoi il peut tourner régulièrement sans outrepasser l’autorisation de quiconque.
Deux choses attendent la preuve que le domaine est à vous (un enregistrement TXT) : le détail des constats qui aideraient un attaquant, et la recherche facultative de fichiers sensibles exposés (.git, .env, sauvegardes), que vous activez domaine par domaine.
Chaque source est publique, et voici ce que chacune voit d’un audit. Aucune donnée client ne leur est jamais envoyée.
| Source | Reçoit | Sert à |
|---|---|---|
| Résolveurs DNS publics (Cloudflare, Google) | Les noms du domaine, des sous-domaines et des sosies | Chaque contrôle DNS |
| crt.sh, Cert Spotter | Le nom du domaine | Sous-domaines, surveillance des certificats |
| rdap.org et le registre | Le nom du domaine | Expiration du domaine, âge des sosies |
| Shodan InternetDB | Des adresses IP publiques | Ports ouverts et vulnérabilités connues, sans scan |
| CISA, FIRST, Wordfence | Rien sur vous : les catalogues publics sont téléchargés | Classement des vulnérabilités |
| Spamhaus | Le domaine et ses adresses IP | Listes de blocage |
| Stockage Amazon, Google, Microsoft | Des noms de buckets dérivés du domaine | Stockage cloud |
| Vos propres serveurs | Des requêtes HTTPS ordinaires, une salutation SMTP | Contrôles web, TLS et transport des e-mails |
Il part de 100 et chaque constat retire des points selon sa gravité. Le même problème sur plusieurs hôtes compte en entier une fois, puis un quart à chaque répétition : dix hôtes sans un même en-tête ne coulent pas un domaine. Les constats que vous avez acceptés, avec un motif, ne comptent pas.
Notes : A à partir de 90, B à partir de 75, C à partir de 60, D à partir de 40, F en dessous.
Exemple
Pas d’enregistrement DMARC (élevée, −12), deux en-têtes faibles (moyenne, −5 chacun), pas de CAA (faible, −1) : 100 − 12 − 10 − 1 = 77, note B.
Le score suit vos progrès dans le temps. Ce n’est pas une certification, et un score parfait ne veut pas dire que rien ne peut arriver.
| Gravité | Points | Signification |
|---|---|---|
| Critique | −30 | Exploitable maintenant, impact grave : à corriger aujourd’hui |
| Élevée | −12 | Risque réel ou mesure de sécurité défaillante : à corriger cette semaine |
| Moyenne | −5 | Une faiblesse à corriger bientôt |
| Faible | −1 | Durcissement et bonnes pratiques |
| Info | −0 | Contexte, rien à corriger |
Un constat qui se révèle faux coûte de la confiance. Ces quatre cas viennent chacun d’un vrai rapport qui s’était trompé, et que nous avons corrigé dans le scanner pour tout le monde.
Certains réseaux retirent STARTTLS de la conversation avec tous les serveurs de messagerie. Avant de dire que votre serveur ne le propose pas, nous interrogeons un serveur de référence qui le propose toujours ; si lui aussi paraît non chiffré, c’est le réseau, et vous n’êtes pas mis en cause.
Les sites statiques mettent souvent leur Content-Security-Policy dans une balise <meta>. Les navigateurs appliquent l’en-tête et la balise : nous lisons les deux avant de juger une politique faible.
Cloudflare répond sur une douzaine de ports pour chaque site qu’il sert. Cela ne vous est pas reproché ; ce qui est signalé, c’est un hôte qui le contourne et pourrait révéler votre serveur d’origine.
Un nom ressemblant enregistré il y a des années est un voisin, pas un attaquant. La gravité dépend de la date d’enregistrement et de la capacité du domaine à envoyer des e-mails, pas de sa simple existence.
Perimetry regarde votre domaine de l’extérieur. C’est là que commencent la plupart des incidents, mais tout n’est pas visible de là.
Si vous traitez des données sensibles ou devez respecter une norme de sécurité, associez cette surveillance continue à un test d’intrusion annuel réalisé par un prestataire qualifié.
Le scanner derrière chaque rapport est Perimetry, publié sous licence AGPL-3.0. Vous pouvez lire comment chaque constat est produit, le faire tourner sur votre machine et comparer ses résultats aux nôtres. Les changements des contrôles sont listés dans nos nouveautés.
Voir tous les contrôles · Ce que nous faisons de vos données