# Comment nous vérifions

Lockpick lit ce que n’importe qui en ligne peut voir de votre site, dans des limites fixes, et ne signale que ce qu’il a vu.

Lockpick vérifie votre site de l’extérieur, comme le ferait un inconnu ou un attaquant. Chaque vérification ne lit que ce que votre site montre déjà au public, plus les registres publics concernant votre domaine, et rien d’autre.

## Dans des limites fixes

Chaque type d’analyse dispose d’un budget fixe qu’il ne peut pas dépasser.

|  | Pulse | Deep |
| --- | --- | --- |
| In plain words | A quick outside look, the way a stranger or a bot sees your site | A careful walk through your site, the way a determined attacker would |
| What we look at | The homepage and the files it loads, email sender settings (SPF and DMARC), security headers and TLS, and public DNS, certificate and subdomain records, in at most 10 requests. | Up to 30 readable pages and 20 scripts, files that should not be public, admin areas, and your API if you have one. If your site builds its pages in the browser, the report says how much Deep could read. |
| How long | Usually under 15 seconds | 2 to 8 minutes |
| Needs proof you own it | No, just confirm you're allowed | Yes, a DNS record, a meta tag or a file, kept published |

* Une analyse Pulse envoie au plus 10 requêtes à votre site, et une analyse Deep au plus 200.
* Les requêtes sont espacées, et une analyse s’arrête tôt si votre site ralentit, échoue ou refuse.
* La lecture des enregistrements DNS, des journaux de certificats et de l’enregistrement de domaine ne touche jamais votre site.

## Seulement ce que nous avons vu

Un constat n’est signalé qu’avec les preuves qui le montrent. Un rapport indique ce que chaque partie de l’analyse a pu lire, et tout ce qu’elle n’a pas pu vérifier est marqué comme non vérifié, jamais comme réussi. [Comment nous évaluons les constats](/fr/docs/security/how-we-rate-findings) explique la gravité, ce qu’un constat confirmé doit montrer et ce que la nouvelle vérification peut prouver.

## Votre autorisation d’abord

Chaque analyse commence par votre confirmation que vous êtes propriétaire du site ou que vous êtes autorisé à le tester. Une analyse Deep exige aussi une [preuve de propriété](/fr/docs/protect/prove-you-own-your-site) et votre approbation à chaque fois.