# Comment nous évaluons les constats Comment Lockpick fixe la gravité, ce qu’un constat confirmé doit montrer, le degré de certitude de chaque constat, ce qu’il faut corriger en premier et ce que la nouvelle vérification peut prouver. Chaque constat d’un rapport Lockpick porte une gravité, un verdict et un niveau de confiance. Ils répondent à des questions différentes. La gravité indique à quel point ce serait grave. Le verdict indique si nous avons tout vu. La confiance indique la solidité des preuves. Pulse et Deep appliquent les mêmes règles. ## Gravité La gravité utilise une seule échelle, la même dans l’application, la documentation et l’API. Du plus au moins sérieux, elle est **Critique**, **Élevée**, **Moyenne**, **Faible** et **Informations**. Pulse et Deep notent les constats jusqu’à Élevée aujourd’hui. Critique est utilisé pour les avis Monitor, et un avis Monitor sans gravité publiée s’affiche **Non évalué**. Un constat n’est noté **élevé** que lorsque l’analyse montre l’un de ces cas. * **Des données lisibles par tous.** Quelque chose a répondu avec des données à une requête sans connexion, sans cookie et sans identifiant. * **Un client qui accède à celui d’un autre.** Des données ou des actions qui passent d’un compte ou d’un locataire à un autre. * **Un identifiant ou une session exposés.** Une clé secrète, un fichier de configuration contenant des identifiants, ou une session remise à quelqu’un qui ne s’est jamais connecté. La prise de contrôle d’une adresse de votre domaine compte aussi, lorsque nous pouvons voir que l’adresse est libre à réclamer. Celui qui la réclame sert des pages sur votre vrai domaine et reçoit les cookies définis pour tout le domaine. Ceux-ci ne sont jamais notés élevés à eux seuls. * En-têtes de sécurité manquants, indicateurs de cookies et lacunes de la Content Security Policy * Paramètres TLS et avertissements de certificat * Divulgation de la version des logiciels et des technologies, y compris une version de bibliothèque qui correspond à un avis * Listages de répertoires, traces d’exécution et pages d’erreur * Redirections ouvertes * Paramètres d’authentification de messagerie comme DMARC et SPF Nous les signalons toujours, au niveau moyen ou inférieur, car ce sont de vraies lacunes et elles sont peu coûteuses à combler. Lorsque d’autres preuves observées complètent une histoire plus grave, le rapport raconte cette histoire comme une chaîne d’attaque, au lieu de relever la gravité du constat isolé. ## Ce qu’un constat confirmé doit montrer Chaque type de constat a une preuve en quatre parties. | Partie | Ce à quoi elle répond | | ----------------------- | -------------------------------------------- | | Source | D’où part une attaque, et qui peut la lancer | | Contrôle le plus proche | La protection qui aurait dû l’arrêter | | Cible | Ce que l’attaquant atteint réellement | | Impact | Ce qui en découle | Pour une table Supabase ouverte, la source est la clé anonyme que votre bundle client embarque par conception, le contrôle le plus proche est la sécurité au niveau des lignes (row-level security), la cible est une lecture sans authentification qui a renvoyé des lignes, et l’impact est ce que contiennent les colonnes renvoyées. Un constat est **confirmé** uniquement lorsque l’analyse a observé chaque partie. Lorsqu’une partie a été déduite plutôt que vue, le constat est marqué **à examiner** et indique la partie encore ouverte. Un type de constat sans preuve définie n’est jamais confirmé. Un constat est **sans objet** uniquement lorsque nous disposons d’une preuve positive que son affirmation ne s’applique pas. L’absence de preuve ne suffit jamais pour cela, et Pulse et Deep n’enregistrent pas aujourd’hui une telle preuve, donc leurs constats sont soit confirmés, soit à examiner. La preuve que vous voyez est rédigée par Lockpick pour ce type de constat. Elle ne cite jamais un secret, le corps d’une réponse ni le déroulement de l’analyse. ## Degré de certitude * **Élevé.** Une réponse de votre site a montré l’exposition elle-même. * **Moyen.** Un registre public ou un motif dans votre contenu la laisse supposer. * **Faible.** Elle est déduite des en-têtes, des versions ou de ce qu’une API dit d’elle-même. Une seconde lecture qui montre la même chose remonte la confiance d’un cran. Une seconde lecture qui ne le montre pas la baisse d’un cran et maintient le constat à examiner. ## Comment nous évaluons l’urgence Chaque constat dit aussi quand le corriger, en quatre niveaux. La gravité dit à quel point ce serait grave. L’urgence dit s’il faut tout arrêter. * **À corriger maintenant.** Arrêtez-vous et corrigez aujourd’hui. Des données clients, des comptes ou des clés sont accessibles. Par exemple, une clé exposée, une base de données ou une API ouverte, des empreintes de mots de passe ou une chaîne d’attaque observée. * **À corriger cette semaine.** Quelqu’un pourrait s’en servir contre vous. Tout autre constat élevé, et les constats moyens exploitables directement ou avec une victime, comme un e-mail qui peut être usurpé. * **Quand vous pourrez.** Cela facilite une attaque. Ce n’est pas une attaque en soi. En-têtes de sécurité manquants, attributs de cookies et autres lacunes de durcissement, et constats faibles. * **Rien à faire.** Bon à savoir. Il n’y a rien à corriger. Un skill, un plugin, une marketplace ou un serveur MCP n’est pas votre code à corriger. Vous décidez si vous l’installez, donc sa vérification dit les mêmes quatre niveaux avec des mots sur l’installation. * **Ne pas installer pour l’instant.** C’est ce qui rend l’installation risquée, un constat critique que nous avons confirmé ou un constat dans un hook. Attendez un correctif ou choisissez autre chose. * **À vérifier avant d’installer.** Lisez ce passage, ou interrogez l’auteur, avant d’installer. * **À savoir.** Ce n’est pas une raison d’attendre. Il est utile de savoir ce que cela fait. * **Rien à faire.** Il n’y a rien à vérifier. Un constat n’est jamais plus urgent que le verdict en haut. Sous Rien de risqué trouvé, chaque constat dit au plus À savoir. Sous Installer avec prudence, un constat dit au plus À vérifier avant d’installer. Seul ce qui rend un dépôt Ne pas installer dit Ne pas installer pour l’instant. Un dépôt d’application garde les mots ci-dessus, de À corriger maintenant à Rien à faire. À côté, une carte dit en un mot notre degré de certitude. **Confirmé** signifie que nous avons tout vu, ou que nous l’avons revu lors d’une seconde lecture. **Probable** signifie que nous l’avons vu une fois, ou qu’une partie reste ouverte. **Possible** signifie que cela indique un problème que nous n’avons pas pu confirmer. Un groupe de constats est aussi urgent que son membre le plus urgent. Le badge en haut du rapport est sa carte la plus urgente, il n’affiche donc À corriger maintenant que si une carte l’affiche. La vérification rapide, Skill Check, les e-mails, la CLI et les outils MCP utilisent les mêmes mots. L’urgence ne change jamais la note ni l’ordre de la liste. ## Quoi corriger en premier Le rapport classe les corrections selon la facilité avec laquelle quelqu’un pourrait les exploiter, et non selon l’étiquette de gravité. 1. Les constats qu’une personne peut exploiter seule, les constats confirmés d’abord 2. Les constats qui nécessitent une victime ou une seconde étape, comme une messagerie usurpable 3. Les lacunes de durcissement qui facilitent la tâche d’un attaquant Dans chaque groupe, les constats confirmés passent avant ceux à examiner, les preuves plus solides avant les plus faibles, et seulement ensuite la gravité la plus élevée. ## Ce que la nouvelle vérification prouve **Vérifier à nouveau** compare une nouvelle analyse avec la précédente, et **Relire cet enregistrement** compare une nouvelle lecture de vos enregistrements DNS publics avec le constat précédent. Chaque constat antérieur aboutit à l’un de trois états. * **Corrigé.** La ressource ou l’enregistrement derrière le constat a été relu, et le constat n’y figurait plus. * **Toujours ouvert.** Le même constat a de nouveau été relevé. * **Non concluant.** La nouvelle lecture n’a pas pu lire ce sur quoi repose le constat, ou les deux analyses ne peuvent pas être comparées. Un constat n’est jamais marqué corrigé parce qu’un ticket a été fermé ou qu’une tâche a été cochée. Retirer une clé exposée de votre site ne la révoque pas : faites-la aussi renouveler auprès de son fournisseur.