Comment nous vérifions
Lockpick lit ce que n’importe qui en ligne peut voir de votre site, dans des limites fixes, et ne signale que ce qu’il a vu.
Lockpick vérifie votre site de l’extérieur, comme le ferait un inconnu ou un attaquant. Chaque vérification ne lit que ce que votre site montre déjà au public, plus les registres publics concernant votre domaine, et rien d’autre.
Dans des limites fixes
Chaque type d’analyse dispose d’un budget fixe qu’il ne peut pas dépasser.
| Pulse | Deep | |
|---|---|---|
| En clair | Un regard rapide de l'extérieur, comme le verrait un inconnu ou un robot | Une exploration attentive de votre site, comme le ferait un attaquant déterminé |
| Ce que nous examinons | La page d'accueil et les fichiers qu'elle charge, les paramètres d'expéditeur d'e-mail (SPF et DMARC), les en-têtes de sécurité et TLS, ainsi que les enregistrements DNS publics, de certificat et de sous-domaines, en 10 requêtes au maximum. | Jusqu'à 30 pages lisibles et 20 scripts, des fichiers qui ne devraient pas être publics, les espaces d'administration et votre API si vous en avez une. Si votre site construit ses pages dans le navigateur, le rapport indique la part que Deep a pu lire. |
| Durée | Généralement moins de 15 secondes | De 2 à 8 minutes |
| Preuve de propriété requise | Non, il suffit de confirmer que vous êtes autorisé | Oui : un enregistrement DNS, une balise meta ou un fichier, à garder en ligne |
- Une analyse Pulse envoie au plus 10 requêtes à votre site, et une analyse Deep au plus 200.
- Les requêtes sont espacées, et une analyse s’arrête tôt si votre site ralentit, échoue ou refuse.
- La lecture des enregistrements DNS, des journaux de certificats et de l’enregistrement de domaine ne touche jamais votre site.
Seulement ce que nous avons vu
Un constat n’est signalé qu’avec les preuves qui le montrent. Un rapport indique ce que chaque partie de l’analyse a pu lire, et tout ce qu’elle n’a pas pu vérifier est marqué comme non vérifié, jamais comme réussi. Comment nous évaluons les constats explique la gravité, ce qu’un constat confirmé doit montrer et ce que la nouvelle vérification peut prouver.
Votre autorisation d’abord
Chaque analyse commence par votre confirmation que vous êtes propriétaire du site ou que vous êtes autorisé à le tester. Une analyse Deep exige aussi une preuve de propriété et votre approbation à chaque fois.
Cette page vous a-t-elle été utile ?
Référence
Chaque opération de l’API Lockpick, son autorisation, ses entrées et sa réponse, générées à partir de l’API elle-même. Version 1, en bêta.
Comment nous évaluons les constats
Comment Lockpick fixe la gravité, ce qu’un constat confirmé doit montrer, le degré de certitude de chaque constat, ce qu’il faut corriger en premier et ce que la nouvelle vérification peut prouver.