Comment Lockpick vérifie un site
Ce que Pulse et Deep examinent, ce qu'ils laissent de côté et comment lire un résultat.
Regarder la visite guidée
Quatre minutes avec Pick, de l'ajout de votre site à la remise de la correction à votre IA. Les sous-titres sont affichés à l'écran, la vidéo se suit donc sans le son.
Lire la transcription
- 0:00 Découvrir Lockpick
- Pick vous présente Lockpick. Il analyse votre site en ligne de l'extérieur, comme le ferait un inconnu, et n'a jamais besoin de votre code.
- 0:44 Ajouter votre site
- Ajoutez votre site avec son adresse et confirmez que vous en êtes le propriétaire ou que vous êtes autorisé à le tester.
- 1:26 Votre première analyse
- Lancez votre premier scan Pulse. Il lit votre page d'accueil et les données publiques, généralement en moins de 15 secondes, sans rien modifier sur votre site.
- 2:19 Lisez votre rapport
- Lisez la note, puis chaque constat en termes simples, avec les preuves et ce qu'un attaquant pourrait en faire.
- 3:10 Corrigez-le avec votre IA
- Copiez le prompt de correction d'un constat dans votre assistant de code, relisez et testez la modification, puis Vérifier à nouveau pour confirmer la correction.
Pulse et Deep
Deux profondeurs d'un même regard extérieur. Pulse est gratuit sur chaque offre. Deep est inclus dans l'offre Deep et va beaucoup plus loin, sur les sites dont vous avez prouvé la propriété.
Pulse
Un regard rapide de l'extérieur, comme le verrait un inconnu ou un robot
- Ce que nous examinons
- La page d'accueil et les fichiers qu'elle charge, les paramètres d'expéditeur d'e-mail (SPF et DMARC), les en-têtes de sécurité et TLS, ainsi que les enregistrements DNS publics, de certificat et de sous-domaines, en 10 requêtes au maximum.
- Durée
- Généralement moins de 15 secondes
- Preuve de propriété requise
- Non, il suffit de confirmer que vous êtes autorisé
Deep
Une exploration attentive de votre site, comme le ferait un attaquant déterminé
- Ce que nous examinons
- Jusqu'à 30 pages lisibles et 20 scripts, des fichiers qui ne devraient pas être publics, les espaces d'administration et votre API si vous en avez une. Si votre site construit ses pages dans le navigateur, le rapport indique la part que Deep a pu lire.
- Durée
- De 2 à 8 minutes
- Preuve de propriété requise
- Oui : un enregistrement DNS, une balise meta ou un fichier, à garder en ligne
Ni l'un ni l'autre ne modifie quoi que ce soit sur votre site.
Du constat à la correction
Chaque scan suit la même boucle, pour que vous sachiez quand un problème est vraiment réglé.
Scanner
Lancez un scan Pulse ou Deep, ou laissez une vérification automatique hebdomadaire en lancer un pour vous.
Lire le constat
Chaque constat indique en termes simples ce qui est ouvert, ce qu'un attaquant pourrait en faire et les preuves que nous avons vues.
Confiez la correction à votre IA
Copiez le prompt de correction dans Lovable, Bolt, Replit, Cursor ou Claude Code. Relisez et testez la modification avant de la déployer.
Vérifier à nouveau
Vérifier à nouveau lance le même scan pour confirmer la correction. Il utilise un scan du quota du mois.
Pour un constat DNS, Relire cet enregistrement relit gratuitement l'enregistrement public, sans nouveau scan.
Vérifications automatiques hebdomadaires
Activez une vérification automatique et Lockpick scanne votre site une fois par semaine, puis vous envoie par e-mail la note, ce qui a été corrigé, ce qui est nouveau et le point à corriger en premier. L'offre Gratuite vérifie chaque semaine avec Pulse. L'offre Deep vérifie chaque semaine avec Pulse ou Deep.
Chaque vérification automatique utilise un scan du quota du mois, comme un scan que vous lancez vous-même. Quand les scans sont épuisés, les vérifications automatiques attendent la réinitialisation et vous envoient un e-mail.
Questions
Quels sites puis-je évaluer ?
Uniquement les sites qui vous appartiennent ou que vous êtes autorisé à tester. Vérifiez l’origine HTTPS exacte avant de commencer. Une autorisation pour un site ne couvre pas les autres domaines, les infrastructures d’hébergement partagées ni les services tiers.
Dois-je connaître la sécurité informatique ?
Commencez par l’explication en langage simple, puis consultez les preuves si vous souhaitez davantage de détails. Votre agent de programmation peut aider à corriger le problème, mais vous devez vérifier et tester la modification proposée.
Mon agent de code lance-t-il le scan ?
Lockpick lance le scan sur sa propre infrastructure. Votre agent de code peut vous aider à appliquer le prompt de correction dans votre dépôt. Vos résultats montrent les preuves et les étapes suivantes. Les workflows privés et les journaux internes ne font pas partie du rapport.
Que analyse Pulse ?
La page d'accueil et les fichiers qu'elle charge, les paramètres d'expéditeur d'e-mail (SPF et DMARC), les en-têtes de sécurité et TLS, ainsi que les enregistrements DNS publics, de certificat et de sous-domaines, en 10 requêtes au maximum. Il ne se connecte pas, n'envoie pas de formulaires, n'accède pas à votre base de données et ne prouve pas que les rôles des utilisateurs sont isolés. Deep va plus loin, jusqu'à 30 pages lisibles et 20 scripts, ainsi que votre API, une fois que vous avez prouvé être propriétaire du site. Lorsqu'un site construit ses pages dans le navigateur, le rapport indique ce que Deep a pu lire.
Lockpick respecte-t-il robots.txt ?
Pulse lit une seule page, la page d'accueil qu'ouvre un visiteur, ainsi que les fichiers qu'elle charge, comme le ferait le navigateur d'un visiteur. Il lit aussi robots.txt, votre plan du site et security.txt, et n'explore jamais d'autre page. Deep lit robots.txt uniquement pour découvrir des pages. Sa directive Sitemap et les routes qu'elle nomme guident les vérifications de Deep, mais Deep demande quand même les routes que le fichier interdit, car robots.txt s'adresse aux robots bien élevés et n'est pas un contrôle d'accès. Deep ne s'exécute que sur les sites dont vous avez prouvé la propriété.
Un résultat sans problème signifie-t-il que mon application est sûre ?
Non. Cela signifie que les vérifications terminées n’ont pas relevé de problème dans la réponse examinée. Les vérifications incertaines et les zones non testées restent visibles. Une vérification de la page d’accueil publique ne peut pas établir la sécurité de toute l’application.
Lockpick modifiera-t-il mon code ?
Aucune modification n'est faite automatiquement. Relisez le prompt de correction avec votre agent de code, testez la correction proposée et décidez de la déployer ou non. Copier un prompt ne résout pas un constat. Vérifiez à nouveau pour comparer les nouvelles preuves.
Que se passe-t-il si le scan s'arrête en cours de route ?
Si un scan s'arrête en cours de route, le rapport indique quelles vérifications ont été terminées et lesquelles ne l'ont pas été. Un résultat partiel n'apparaît jamais comme sans problème.
Puis-je conserver les résultats indéfiniment ?
Les rapports restent dans votre espace de travail jusqu'à ce que vous les supprimiez ou fermiez votre compte. Ne mettez jamais de mots de passe, de jetons d'accès ou de données clients dans une URL cible ou un brief de correction.
Sources
Le compteur de vulnérabilités en direct de la page d'accueil part de Zero Day Clock, qui a recensé 57 871 CVE publiées de janvier à août 2026. Nous le prolongeons au même rythme quotidien.
Voyez ce que montre votre site
Commencez par un regard gratuit sur votre page d'accueil, puis décidez jusqu'où aller.