Glossaire

Contrôle rapide: Un examen gratuit de la page d'accueil d'un site, avec un score sur 100 et une note de A à D en une dizaine de secondes. Aucun compte requis, et aucune analyse n'est consommée.
Pulse: L'analyse gratuite pour les comptes connectés. Elle dure généralement moins de 15 secondes et examine votre page d'accueil, vos paramètres de messagerie, vos paramètres de sécurité et les registres publics, comme le ferait un inconnu ou un bot.
Analyse Deep: L'analyse plus poussée. Elle parcourt jusqu'à 30 pages de votre site comme le ferait un attaquant déterminé, et exige la preuve que vous êtes propriétaire du site.
Master Key: Un test qui se connecte à votre application avec deux comptes de test pour vérifier si un utilisateur peut voir les données d'un autre utilisateur. Bientôt disponible.
Contrôle automatique: Une analyse que Lockpick lance pour vous selon un calendrier, chaque semaine pour les formules Free et Deep, avec le résultat envoyé par e-mail.
Analyses restantes: Ce qui reste des analyses de ce mois selon votre formule. La CLI et l'API les appellent toujours des crédits.
Analyses bonus: Analyses obtenues en plus de votre formule, par exemple pour avoir invité un ami ou via l'accès anticipé. Elles sont affichées séparément des analyses de votre formule.
Note: Une lettre de A à D qui résume le niveau d'exposition de votre site, à partir d'un score sur 100.
Point à corriger: Un élément relevé par une analyse qui facilite une attaque. Les développeurs parlent de constat.
Gravité: L'importance d'un point à corriger, sur une échelle commune : Critical, High, Medium, Low ou Info. Pulse et Deep notent jusqu'à High aujourd'hui, et les avis Monitor peuvent être Critical.
Quand corriger: Dans quel délai traiter un constat. À corriger maintenant signifie que des données clients, des comptes ou des clés sont accessibles. À corriger cette semaine signifie que quelqu’un pourrait s’en servir contre vous. Quand vous pourrez signifie que cela facilite une attaque. Rien à faire signifie que c’est seulement bon à savoir. Pour un skill, un plugin ou un serveur MCP que vous envisagez d’installer, les mêmes niveaux se lisent Ne pas installer pour l’instant, À vérifier avant d’installer, À savoir et Rien à faire.
Preuve: Ce que l'analyse a effectivement vu et qui montre le problème, comme un en-tête ou un registre public, avec les informations sensibles masquées.
Couverture: Ce qu'une analyse a pu vérifier. Ce qu'elle n'a pas pu vérifier n'est jamais compté comme réussi.
Construit dans le navigateur: Un site dont les pages sont assemblées par du code exécuté dans le navigateur du visiteur, comme beaucoup d'applications React. Pulse lit ce que votre serveur envoie, il voit donc moins de ces sites, et l'onglet Scope du rapport indique ce qu'il a laissé de côté.
Relancer le contrôle: Une nouvelle analyse du même type sur le même site, comparée à la précédente. Elle consomme toujours une analyse. La CLI l'appelle un recheck.
Relire cet enregistrement: Une relecture gratuite et instantanée de vos enregistrements DNS, certificats et d'enregistrement de domaine publics pour un problème donné. Elle n'envoie rien à votre site et ne consomme aucune analyse.
Prouver que vous possédez votre site: L'étape unique requise par Deep. Vous ajoutez un enregistrement DNS, une balise meta ou un fichier que seul le propriétaire du site peut publier, et Lockpick le recherche avant chaque analyse Deep.
Attestation: Votre confirmation que vous possédez un site ou que vous êtes autorisé à le tester. Lockpick la demande avant chaque analyse.
Monitor: Lockpick surveille les problèmes de sécurité publiés dans les logiciels que vos sites utilisent, comme Next.js ou WordPress, et vous prévient lorsqu'un d'entre eux peut vous concerner.
Avis de sécurité: Un avis public sur un problème de sécurité dans un logiciel, qui nomme généralement la version qui le corrige.
Peut vous concerner: Votre site utilise le logiciel visé par un avis, mais nous ne pouvons pas voir quelle version est installée. Si votre site utilise déjà une version corrigée, rien n'est à changer.
Vous concerne: Les versions de paquets que vous avez transmises à Lockpick incluent une version touchée. Mettez à jour vers la version indiquée dans l'avis.
Exploitée activement: Des attaquants utilisent déjà ce problème contre de vrais sites. Traitez-les en priorité.
KEV: La liste Known Exploited Vulnerabilities de la CISA. La CISA est l'agence américaine de cybersécurité, et sa liste recense les problèmes que des attaquants utilisent en ce moment.
CVE et GHSA: Identifiants publics d'un problème de sécurité connu, comme CVE-2025-55182. Un identifiant GHSA est l'équivalent de GitHub pour le même type d'avis. Vous n'en avez besoin que pour rechercher un problème.
RCE: Remote code execution, exécution de code à distance. Un problème qui permet à un attaquant d'exécuter son propre code sur votre serveur, l'un des plus graves.
Registres publics: Des informations sur votre domaine que n'importe qui peut consulter, comme ses enregistrements DNS, les journaux de certificats et les données d'enregistrement. Elles n'ont aucun rapport avec les registres judiciaires ou administratifs.
DNS: Le carnet d'adresses d'Internet. Il indique où vivent votre site et votre messagerie, et n'importe qui peut le lire.
Sous-domaine: Une adresse sous votre domaine, comme shop.example.com sous example.com. Les journaux de certificats les listent, donc n'importe qui peut les trouver.
Enregistrement TXT: Un enregistrement DNS qui contient une ligne de texte. Les paramètres de sécurité de la messagerie et les preuves de propriété les utilisent.
SPF: Un enregistrement DNS qui liste les serveurs autorisés à envoyer des e-mails au nom de votre domaine.
DKIM: Une signature apposée sur vos e-mails qui prouve qu'ils proviennent bien de votre domaine.
DMARC: Un enregistrement DNS qui indique aux fournisseurs de messagerie quoi faire des e-mails qui échouent aux contrôles SPF ou DKIM, comme les rejeter.
Certificat HTTPS: Ce qui permet aux navigateurs de se connecter à votre site de façon privée et de vérifier qu'il est bien le vôtre. Chaque certificat figure dans des journaux publics.
En-têtes de sécurité: Instructions envoyées par votre site avec chaque page pour demander aux navigateurs de bloquer les attaques courantes.
Content Security Policy: Un en-tête de sécurité qui indique aux navigateurs quels scripts peuvent s'exécuter sur votre page.
HSTS: Un en-tête de sécurité qui demande aux navigateurs de n'utiliser que HTTPS pour votre site.
CORS: Les règles qui déterminent quels autres sites web peuvent lire des données de votre site dans le navigateur d'un visiteur.
Source map: Un fichier qui retransforme le code compressé de votre site en code source lisible. Laissé public, il peut montrer comment fonctionne votre application.
Fichier exposé: Un fichier qui ne devrait jamais être public, comme un fichier de paramètres ou une sauvegarde, et que n'importe qui peut télécharger.
Prise de contrôle de sous-domaine: Un sous-domaine pointe encore vers un service que vous n'utilisez plus, de sorte que quelqu'un d'autre peut le revendiquer et afficher sa propre page.
robots.txt: Un fichier de votre site qui indique aux visiteurs automatisés les pages à ignorer. Lockpick le respecte pour chaque page découverte, mais lit tout de même la page qu'un visiteur ouvre et les fichiers qu'elle charge.
User agent: Le nom qu'un programme donne lorsqu'il visite votre site. Les analyses de Lockpick envoient celui d'un navigateur ordinaire et prouvent qu'elles viennent de Lockpick grâce à un en-tête Signature-Agent signé.
Brief de correction: Toutes les corrections d'une analyse dans un seul document, rédigé pour un développeur ou un assistant de programmation.
Consigne de correction: Instructions pour une seule correction, à coller dans un assistant de programmation comme Claude Code ou Cursor. Chaque problème à corriger a la sienne, que vous pouvez modifier avant de la copier.
MCP: Le Model Context Protocol, la norme que les assistants IA utilisent pour se connecter à des outils comme Lockpick.
OAuth: La méthode standard pour permettre à une application d'agir en votre nom sans lui donner votre mot de passe. Les assistants se connectent à Lockpick avec elle.
CLI: Lockpick dans votre terminal, avec la commande lockpick, installée depuis npm sous le nom lockpicks.
Clé API: Un secret, à la manière d'un mot de passe pour un programme, qui permet à un logiciel d'utiliser un compte sur un autre service. La clé API de Lockpick permet à la CLI ou à vos analyses de publication d'utiliser votre compte Lockpick. La CLI en obtient une lorsque vous vous connectez.
Projets et analyses: La CLI, l'API et certaines adresses web utilisent encore project pour un site et run pour une analyse. Ces termes ont le même sens.