Ce que vérifie un audit Perimetry
45 contrôles en huit familles, tous passifs sauf un contrôle facultatif que vous activez vous-même (pages de connexion d’administration) : chacun lit le DNS public, les journaux publics de certificats, la réponse que votre serveur donne déjà à n’importe qui, ou une base de données publique. La gravité indiquée est la gravité habituelle du constat ; le rapport l’adapte au contexte (un DMARC absent sur un domaine qui n’envoie pas d’e-mails n’a pas le même poids que sur votre domaine principal).
Authentification des e-mails
Si d’autres peuvent envoyer des e-mails en votre nom, et si les destinataires s’en apercevraient.
Guide : SPF, DKIM et DMARC expliqués à ceux qui gèrent des sites web
Politique DMARC
Enregistrement absent, politique à none, erreurs de syntaxe, adresses de rapport, politique des sous-domaines.
Enregistrement SPF
Absent, terminaisons neutres ou « soft-fail », plus de 10 requêtes DNS, includes morts, boucles, enregistrements multiples.
Clés DKIM
Sélecteurs courants testés, longueur de clé estimée, clés révoquées ou vides.
Domaines qui n’envoient pas d’e-mails
MX nul, SPF qui rejette tout et DMARC en reject sur les domaines parqués et de marque.
MTA-STS et TLS-RPT
Fichier de politique, mode, adresse de rapport.
Transport des e-mails
STARTTLS proposé par vos serveurs MX, validité des certificats, serveurs de messagerie qui n’existent plus.
DANE
Les enregistrements TLSA de vos serveurs MX comparés au certificat que présente chaque serveur, et s’ils sont vraiment protégés par DNSSEC : une discordance ou une signature invalide fait refuser votre courrier par les expéditeurs qui appliquent DANE.
BIMI
Si vous en publiez un : l’enregistrement, le logo SVG Tiny PS, le certificat de marque (VMC ou CMC) et l’application de DMARC qu’exige BIMI avant d’afficher un logo.
DNS et enregistrement du domaine
Les fondations dont dépendent tous les autres enregistrements.
Guide : DNSSEC et CAA : deux enregistrements qui ne coûtent rien
Serveurs de noms
Un seul fournisseur, serveurs injoignables, délégations vers des hôtes qui n’existent plus ou vers des domaines non enregistrés.
DNSSEC
Non activé, ou activé et cassé, ce qui est pire.
Enregistrements CAA
Les autorités de certification autorisées à émettre pour votre domaine.
Enregistrements génériques
Les enregistrements « attrape-tout » qui font répondre n’importe quel sous-domaine, y compris ceux que vous n’avez jamais créés.
Expiration du domaine
La date d’expiration et le bureau d’enregistrement lus dans le registre : expiré, ou expirant dans les 60 jours (critique à moins d’une semaine).
Statut au registre
Un domaine suspendu ou en cours de suppression par le registre, et un domaine non verrouillé contre les transferts (sur les extensions génériques comme .com, .org ou .io, où ce verrou existe).
Sous-domaines et prise de contrôle
Les hôtes que vous avez oubliés, retrouvés dans les journaux publics de certificats.
Guide : La prise de contrôle de sous-domaine : comment un CNAME oublié devient la page de quelqu’un d’autre
Découverte des sous-domaines
Chaque nom d’hôte qui a reçu un certificat un jour, d’après les journaux Certificate Transparency, et les hôtes gardés par l’Internet Archive qui n’ont jamais eu de certificat à eux.
Prise de contrôle de sous-domaine
Des enregistrements qui pointent vers des ressources cloud qui n’existent plus : GitHub Pages, Heroku, Azure, Shopify, Zendesk et 20 autres fournisseurs.
Enregistrements orphelins
Des CNAME vers des domaines non enregistrés, que n’importe qui peut acheter.
Espaces de stockage cloud
Les buckets S3, Google Cloud Storage et Azure qui portent le nom de votre domaine, et s’ils sont publics.
Certificats et TLS
L’expiration, la confiance, et qui émet des certificats pour vos noms.
Guide : Surveiller les journaux Certificate Transparency pour son propre domaine
Validité des certificats
Expiration dans les 30 jours, expiré, mauvais nom d’hôte, chaîne non reconnue.
Versions du protocole
TLS 1.0 et 1.1 encore acceptés.
Surveillance Certificate Transparency
Les nouveaux certificats émis pour votre domaine, par quelle autorité, et si votre enregistrement CAA l’autorisait. Entre les audits aussi : les journaux sont lus jusqu’à chaque heure avec les offres Agency, toutes les 6 heures avec Solo et une fois par jour avec Free, avec une alerte quand un certificat vient d’une autorité nouvelle ou non autorisée, ou nomme un hôte jamais vu.
Configuration web et vie privée
Ce que votre site principal dit à chaque visiteur dès sa première réponse, et ce que charge sa page d’accueil.
Guide : Les six en-têtes de sécurité à mettre sur chaque site
Redirection HTTPS et HSTS
HTTP laissé ouvert, chaînes de redirection, HSTS absent ou trop court.
En-têtes de sécurité
Qualité de la Content-Security-Policy, protection contre l’intégration en cadre, politique de référent, politique de permissions, détection du type MIME.
Cookies et CORS
Cookies de session sans Secure ni HttpOnly, CORS ouvert à tous avec identifiants.
Contenu des pages
Bibliothèques JavaScript obsolètes, contenu mixte, formulaires de connexion envoyés en HTTP.
WordPress
Version, XML-RPC et liste des utilisateurs exposés, extensions et thèmes comparés à la base de vulnérabilités de Wordfence.
Scripts tiers
Les scripts chargés depuis d’autres origines sans Subresource Integrity (SRI), et ceux encore chargés en HTTP non chiffré. Les gestionnaires de balises et les scripts de paiement ou de captcha, qui ne peuvent pas utiliser SRI, sont laissés de côté.
Provenance des scripts
Un script chargé depuis un domaine connu pour avoir servi du code malveillant (polyfill.io et ses CDN jumeaux), ou depuis un domaine qui n’appartient plus à personne et que n’importe qui pourrait acheter pour exécuter du code sur votre site.
Traceurs avant consentement
Les traceurs de mesure d’audience, de publicité et de réseaux sociaux, et leurs cookies, chargés par la page d’accueil avant tout clic, et la présence d’un outil de consentement. Un minimum : la page est lue sans exécuter JavaScript.
security.txt
Un moyen pour les chercheurs en sécurité de vous joindre, vérifié selon la RFC 9116 : contact, date d’expiration, adresse canonique, type de contenu.
Pages de connexion d’administration (facultatif)
Les pages de connexion de WordPress, Joomla, Drupal, phpMyAdmin et Adminer, et les sous-domaines admin ou cPanel, joignables depuis Internet. Seulement avec la recherche de fichiers sensibles que vous activez pour un domaine qui vous appartient ; rien n’est saisi ni envoyé.
CDN, pare-feu et HTTP/3
Le CDN ou le pare-feu applicatif placé devant chaque site (Cloudflare, CloudFront, Akamai, Fastly, Sucuri…) et la prise en charge de HTTP/3, montrés dans l’inventaire, sans effet sur la note.
Domaines sosies
Les domaines à une faute de frappe du vôtre, et si quelqu’un les a enregistrés.
Guide : Les domaines sosies : repérer l’hameçonnage avant le premier e-mail
Surveillance du typosquatting
Des centaines de variantes par domaine : lettres manquantes ou inversées, caractères qui se ressemblent, autres extensions, mots ajoutés. Ceux qui sont enregistrés sont signalés avec leur serveur de messagerie et leur site.
Nouveaux enregistrements
Un sosie apparu entre deux audits figure dans la partie « changements » de votre rapport suivant.
Votre marque dans d’autres certificats
Les autres domaines qui portent votre marque dans un certificat valide, avec toutes les offres, pour un nom de marque distinctif ; d’abord ceux qui ont un mot lié à la connexion (login, secure, account) : la mise en place habituelle d’un site d’hameçonnage.
Pages qui se font passer pour vous
Avec votre propre clé urlscan.io : les pages d’autres domaines qui chargent vos fichiers ou portent votre nom, cherchées chaque jour ; chaque nouvelle page est signalée une fois.
Fuites et empreinte publique
Ce que les archives publiques et les fuites de données savent déjà de votre domaine.
Sauvegardes archivées
Les adresses de sauvegardes, d’exports de base de données et de fichiers de configuration gardées par l’Internet Archive : elles ont été publiques, et peuvent encore contenir des mots de passe.
Paquets publics
Les paquets npm dont les liens renvoient vers votre domaine, pour vérifier qu’aucun n’a été publié par erreur.
Secrets dans le code public
Chaque semaine, les fichiers publics sur GitHub qui citent votre domaine, lus à la recherche de mots de passe, clés et jetons (AWS, Stripe, GitHub, clés privées…) ; le secret n’est jamais gardé, seulement son type, son emplacement et ses premiers caractères. Les nouveaux secrets graves donnent une alerte.
Adresses dans des fuites
Avec votre propre clé Have I Been Pwned : combien d’adresses de votre domaine figurent dans des fuites de données connues, et dans quelles fuites (les nombres seulement, jamais les adresses).
Exposition et réputation
Ce que les bases de données publiques disent déjà de vos hôtes.
Ports ouverts
Bases de données, bureau à distance et interfaces d’administration joignables depuis Internet, d’après l’index public de Shodan.
Vulnérabilités connues
Les CVE des services exposés, classées avec la liste des vulnérabilités exploitées de la CISA et les scores EPSS.
Passerelles VPN, pare-feu et Exchange
Fortinet, Citrix, Ivanti, Palo Alto, SonicWall, Cisco, F5 et autres équipements de bordure, ainsi que les serveurs Exchange sur site, repérés sur vos adresses : la première cible des attaquants. Aussi les ports d’annuaire (LDAP) et de VPN PPTP, et les hôtes dont le nom désigne un portail d’accès à distance.
Vulnérabilités nouvellement exploitées
Chaque heure, les vulnérabilités vues sur vos adresses sont comparées aux catalogues des vulnérabilités exploitées de la CISA et de l’Union européenne (ENISA, avec les identifiants EUVD) : celle qui devient exploitée entre deux audits est signalée tout de suite, avec une alerte à partir de l’offre Solo.
Listes de blocage
Le domaine et les adresses dans les listes de Spamhaus.
Ce que nous ne faisons volontairement pas
Aucun scan de ports depuis nos serveurs (les ports ouverts viennent de l’index public de Shodan). Aucune exploitation de vulnérabilité. Aucune tentative de mot de passe. Aucune exploration au-delà de la page d’accueil et de quelques fichiers bien connus comme robots.txt et security.txt. Aucune requête vers des chemins qui pourraient être sensibles, sauf si vous activez explicitement cette option pour un domaine qui vous appartient. Résultat : un audit que votre hébergeur ne remarquera jamais et que vos journaux enregistreront comme un seul visiteur.
Quand vous voudrez aller plus loin, un scan actif et consenti des applications qui vous appartiennent est bientôt disponible.