Scanners de découverte

Scanner	Entrée	Fréquence (suivi complet)
Découverte des sous-domaines	domaine	30 jours
Résolution des adresses	domaine, sous-domaine	à la suite de la découverte, sans balayage propre
Ports ouverts et failles connues	adresse IP	7 jours, 02:45 UTC
Ports ouverts (version gratuite)	adresse IP	aucune (prospects)
Réputation des adresses IP	adresse IP	7 jours

Tous tournent dans le monitoring. Sources et quotas : Sources. Les identifiants techniques sont dans la Correspondance technique.

Découverte des sous-domaines

Surveille. Détecte les sous-domaines d’un domaine et, pour un client suivi, jusqu’à 20 adresses IP hors parc et hors réseau de diffusion de contenu (CDN) qui présentent son certificat. Il lance ensuite la cascade de suivis.
Entrée. Un domaine. Pour un prospect, seules les sources anonymes sont utilisées.
Quand. À l’onboarding (priorité 200), puis tous les 30 jours, 1 tâche par passage de 30 minutes (48 domaines par jour au plus). Instantané : premier scan d’un prospect. Flash : budget de 3 s, sans le journal public de certificats ni les adresses présentant un certificat.
Solution de repli. Le journal public de certificats (crt.sh) n’est interrogé qu’en cas d’échec complet des autres sources, jamais en flash. Si toutes les sources échouent, le résultat est une erreur passagère (nouvelle tentative) et la cascade web part quand même. Une clé refusée ou limitée est mise de côté (limite atteinte : 1 heure) ; sans clé, la source à clé est sautée.
Limites. SecurityTrails n’est interrogé qu’une fois par domaine, marqué avant l’appel : un échec n’est jamais retenté (50 crédits par mois, arrêt à 45). Une source en échec partiel n’est pas signalée. Un sous-domaine disparu n’est jamais désactivé ici : seule la résolution des adresses le fait. Un prospect garde au plus 25 sous-domaines.

Surveille. Détecte les adresses IP (v4 et v6) d’un hôte, un hôte décommissionné (le nom n’existe plus) et l’état de la signature DNSSEC du domaine : signature invalide (gravité moyenne), signature isolée (faible), domaine non signé (information).
Entrée. Un domaine ou un sous-domaine. La signature DNSSEC n’est vérifiée que sur le domaine.
Quand. Pas de balayage propre : à la suite de la découverte (fraîcheur 7 jours), sur nouveau scan, en instantané et en flash. Suivi complet : 8 tâches par passage de 30 minutes ; instantané : 75. En fin de lot, il programme les suivis des adresses : ports ouverts pour les clients suivis, version gratuite des ports et réputation pour les prospects.
Solution de repli. Délai de 5 s par requête DNS. Un échec réseau ne désactive rien et laisse la signature inchangée ; aucune erreur n’est levée, donc pas de nouvelle tentative. Un hôte disparu est désactivé et ses constats ouverts sont résolus.
Limites. Une panne de résolution produit une tâche réussie sans données. L’inventaire des adresses ne se rafraîchit qu’avec la découverte (environ 30 jours), sauf nouveau scan.

Surveille. Détecte les ports ouverts, les services, leurs versions, les failles connues (CVE, vulnérabilités publiées) de chaque service et le chiffrement faible. Les failles ne sont signalées que si elles sont critiques ou élevées. Seuls 17 ports à risque alertent (critique : partage de fichiers Windows, bureau à distance, VNC, Redis, Elasticsearch, MongoDB).
Entrée. Une adresse IP hors CDN d’un client suivi. Aucune connexion vers l’adresse : un seul appel à Shodan, sans crédit.
Quand. Programmé à 02:15 UTC (7 jours), à la suite de la résolution des adresses et sur nouveau scan, mais traité une seule fois à 02:45 UTC : 500 tâches, 1,1 s d’écart. Une tâche créée en journée attend donc 02:45.
Solution de repli. Sans clé Shodan utilisable, les tâches attendent. Sur dépassement de quota, la clé est en pause 60 s mais le lot continue. Une adresse privée termine sans rien écrire. Les autres erreurs sont passagères, sauf adresse absente et clé refusée.
Limites. Données de la dernière indexation Shodan, pas d’un scan du jour. Un hôte non indexé résout les constats ouverts comme s’il était fermé. Les ports de réseau privé virtuel (VPN) et les constats d’une adresse non prouvée dédiée sont exclus de la note.

Surveille. Détecte les ports, noms d’hôte, étiquettes et failles annoncées pour une adresse, via la version gratuite de Shodan. Les failles sont en information, sans score : aucune alerte. Les ports risqués alertent comme dans la version complète.
Entrée. Une adresse IP. Aucune clé nécessaire.
Quand. Prospects seulement : à la suite de la résolution des adresses en instantané (10 tâches par passage) et en flash (première adresse trouvée, d’où l’on déduit si elle est dédiée). Aucun balayage pour les clients suivis.
Solution de repli. Délai de 7 s. Toute exception est une erreur passagère (5 essais) ; une adresse inconnue donne un résultat vide.
Limites. Pas de bannières, de géolocalisation ni de détail de chiffrement. Rien ne le relance seul.

Surveille. Détecte une adresse signalée pour abus (gravité élevée, score AbuseIPDB de 50 ou plus), une adresse vue en train d’attaquer d’autres systèmes (gravité élevée, GreyNoise) et une sortie du réseau Tor (gravité moyenne).
Entrée. Une adresse IP hors CDN. Les constats d’une adresse non prouvée dédiée sont hors note.
Quand. Suivi complet : toutes les 4 heures pour les adresses sans mesure de moins de 7 jours, 10 tâches par client et 50 par passage. Instantané : à la suite de la résolution des adresses, 10 tâches par passage. Flash : première adresse, sans test Tor, seulement si la clé AbuseIPDB est un secret de l’hébergeur.
Solution de repli. Sans clé AbuseIPDB utilisable, le traitement s’arrête. Une clé refusée ou limitée est mise en pause dans le coffre. Un dépassement de quota remet la tâche en file et arrête le lot. L’échec de GreyNoise ne fait jamais échouer la tâche.
Limites. L’ajout automatique pour les prospects et le scan flash ignorent le coffre : une clé stockée seulement dans la base les laisse éteints. Quota gratuit d’AbuseIPDB : 1 000 contrôles par jour.

Cascade bornée. Un prospect ne reçoit la disponibilité du site, le certificat et les technologies que pour ses 6 premières cibles web.
Clés par défaut. Sans clé en coffre pour un fournisseur, le monitoring se rabat sur les clés déclarées chez l’hébergeur. Un fournisseur désactivé dans l’administration reste coupé. Voir Secrets et clés.
Hôte disparu. Un nom que le DNS ne connaît plus sort de l’inventaire : plus aucun scanner ne le visite.

L’ajout automatique de la réputation des adresses pour les prospects doit-il lire le coffre comme le fait la tâche planifiée ?
Une adresse inconnue de Shodan doit-elle résoudre les constats de ports ouverts ?