Le scanner est open source. Le service, c’est le confort.

Le lancer vous-même

Avec Node.js 22 ou plus récent :

npx perimetry votredomaine.fr
npx perimetry votredomaine.fr --html rapport.html
npx perimetry --file domains.txt --diff --fail-on high

L’outil en ligne de commande garde son propre historique dans un fichier SQLite local et affiche ce qui a changé depuis le dernier passage. Une GitHub Action le lance à intervalle régulier et ouvre un ticket quand un nouveau constat élevé ou critique apparaît. Un serveur MCP vous permet de demander à Claude d’auditer un domaine et d’expliquer les constats. L’outil et ses rapports sont en anglais.

Pourquoi l’AGPL

L’AGPL permet à chacun d’utiliser, d’étudier, de modifier et de redistribuer le scanner, y compris commercialement, à condition que les versions modifiées proposées en service publient aussi leur code. Les contrôles restent ainsi vérifiables par ceux qu’ils visent, ce qu’un outil de sécurité doit selon nous à ses utilisateurs, et les améliorations reviennent au projet. La liste des empreintes de prise de contrôle de sous-domaine est publiée à part sous licence MIT, pour que d’autres outils puissent la réutiliser sans condition.

Ce qu’apporte le service hébergé

• Des audits planifiés depuis nos serveurs : rien ne tourne sur les vôtres.
• La preuve de propriété : les alertes ne vont qu’aux propriétaires du domaine.
• Deux ans d’historique, le suivi des changements et un graphique du score par domaine.
• Des alertes par e-mail, Slack, Discord, ntfy ou webhook, avec des destinataires définis client par client.
• Des espaces clients et des rapports à votre logo, pour les agences.
• Une adresse de support où répondent ceux qui écrivent les contrôles.

Si l’outil en ligne de commande vous suffit, utilisez-le ; il restera complet. Perimetry Cloud existe pour ceux qui préfèrent ne rien faire tourner.

Contribuer

Les tickets et les pull requests sont les bienvenus sur GitHub. Un nouveau contrôle demande un test contre le faux réseau de la suite de tests, une ligne dans le journal des changements et une entrée dans la référence des constats du README. Les vulnérabilités du scanner lui-même vont à security@perimetry.cloud, pas au suivi public.