Scanners d'exposition et marque

Scanner	Entrée	Fréquence (suivi complet)
Sous-domaines détournables	sous-domaine	7 jours
Stockages en ligne ouverts	domaine	7 jours
Expiration du domaine	domaine	30 jours
Noms imitant la marque	domaine	1 jour

Tous tournent dans le monitoring et interrogent des services publics : Sources. Les identifiants techniques sont dans la Correspondance technique.

Sous-domaines détournables

Surveille. Détecte un sous-domaine dont l’alias (CNAME) pointe vers un service que quelqu’un d’autre peut réclamer, ou vers une cible disparue : risque de détournement de gravité élevée, compté dans la note. Un sous-domaine redevenu sain referme le constat.
Entrée. Un sous-domaine, jamais un domaine racine. L’alias est résolu, puis comparé à 12 empreintes de services (GitHub Pages, Heroku, Netlify, S3, Azure…). Une cible disparue est positive si une empreinte correspond, si le service cloud est réclamable ou si le domaine de la cible est libre. Sinon, une requête compare la réponse à la signature attendue.
Quand. Programmé toutes les 6 heures (7 jours), 8 tâches par passage de 30 minutes. Instantané : à la suite de la découverte pour les prospects, 75 tâches par passage.
Solution de repli. Une requête en échec ou un annuaire des domaines muet vaut « non détecté » : aucune alerte. Une exception fait échouer la tâche sans nouvelle tentative.
Limites. CloudFront, Fastly et Zendesk sont absents à dessein (le fournisseur vérifie la propriété). Une cible disparue dont le domaine reste enregistré chez un fournisseur inconnu n’est pas vue. La requête de vérification visite aussi les sous-domaines des prospects.

Stockages en ligne ouverts

Surveille. Détecte un stockage cloud nommé d’après le domaine et ouvert au public : contenu listable (gravité critique), lisible (élevée), modifiable (critique), accès depuis n’importe quel site autorisé (élevée).
Entrée. Un domaine. 25 motifs de noms (« -prod », « -staging », « -backup »…) sur 6 fournisseurs (Amazon S3, Google, Azure, DigitalOcean, Alibaba) : 150 requêtes de lecture en parallèle. Un stockage existant mais refusé est testé en écriture : dépôt d’un fichier test, puis suppression.
Quand. Programmé toutes les 6 heures (7 jours), 3 tâches par passage de 10 minutes. Instantané : 3 tâches par passage. Flash : trois fournisseurs, 5 motifs, jamais d’écriture.
Solution de repli. Une erreur réseau compte comme « rien vu ». Une exception fait échouer la tâche sans nouvelle tentative. En flash, ce scanner n’est jamais marqué terminé : le rapport ne peut pas déclarer « propre » sans avoir testé l’écriture.
Limites. La suppression du fichier test n’est pas attendue : un échec n’est que journalisé et le fichier peut rester. L’écriture s’applique aux domaines des prospects en instantané, alors que le flash l’interdit pour ne pas écrire chez un tiers.

Expiration du domaine

Surveille. Détecte un domaine qui expire bientôt (gravité critique sous 7 jours, élevée sous 14, moyenne sous 30) et un domaine enregistré depuis moins de 90 jours (information). Aucune des deux alertes ne compte dans la note.
Entrée. Un domaine. Le serveur de l’annuaire public est choisi selon l’extension du domaine, d’après la liste officielle de l’IANA, rechargée à chaque lot.
Quand. Programmé à 02:15 UTC (30 jours), 5 tâches par passage de 30 minutes. Instantané : 10 tâches par passage.
Solution de repli. Si la liste de l’IANA est indisponible, la tâche repasse en attente sans consommer d’essai et le lot s’arrête. Une erreur de l’annuaire termine la tâche sans rien écrire. Une date illisible laisse les alertes intactes.
Limites. Un refus de l’annuaire (trop de requêtes ou panne) ferme la tâche : la donnée attend le cycle suivant (30 jours). Une extension sans annuaire public n’est jamais couverte.

Noms imitant la marque

Surveille. Détecte les noms proches du domaine déjà enregistrés par un tiers. Gravité moyenne et comptée dans la note si le nom a moins de 90 jours et peut envoyer du courrier ou sert un site actif ; sinon information, hors note. Un nom sur les mêmes serveurs de noms que le client est défensif et ignoré.
Entrée. Un domaine. Au plus 40 variantes (extension changée, lettre omise, lettres inversées, trait d’union, voyelle changée), environ 85 sous-requêtes par tâche (résolution, annuaire public, une requête de lecture si une adresse publique répond).
Quand. Programmé chaque nuit à 02:15 UTC, sauf si le domaine a été scanné dans les 12 dernières heures. Traité par la tâche horaire de :50 : 6 tâches par passage, 144 par jour. Au-delà de 144 domaines, le rythme n’est plus quotidien et la nuit consigne un dépassement de capacité. Instantané : initial pour chaque prospect, 10 par passage.
Delta seulement. Un nom déjà vu met à jour son constat, sans doublon ni nouvel envoi. Il ne se ferme qu’absent de deux scans d’affilée (compté en scans, pas en heures) : un nom momentanément introuvable ne réapparaît pas comme nouveau dans le résumé mensuel, et l’acquittement du client tient. Un nouveau scan demandé (constat marqué résolu par l’administration) ferme sur un seul résultat propre.
Cache de l’annuaire. La date d’enregistrement d’un nom est gardée 30 jours. Elle est oubliée dès que le nom apparaît libre, et redemandée si ses serveurs de noms changent : un réenregistrement repart avec sa vraie date. Une réponse en échec n’est pas gardée : nouvel essai le lendemain. Les lignes sans rafraîchissement depuis 90 jours sont purgées la nuit.
Solution de repli. Une recherche de serveurs de noms sans réponse marque le scan incomplet : les constats confirmés sont écrits, aucun n’est résolu. Sans annuaire public, l’âge est inconnu et rien n’est compté. Une exception fait échouer la tâche sans nouvelle tentative.
Limites. Variantes fixes : pas de caractères trompeurs (homoglyphes) ni de mots ajoutés (« -login », « -secure »). Le scan voit l’état du jour, pas un nom enregistré puis abandonné entre deux passages.

Règles et pièges

Écriture chez un tiers. Les stockages en ligne reçoivent un fichier test chez les prospects en instantané ; le flash l’a coupé. Voir Décisions.
Annuaire partagé. L’expiration du domaine, les sous-domaines détournables et les noms imitant la marque interrogent tous RDAP, l’annuaire public des noms de domaine.

Où dans le code

monitoring/src/pipelines/asset-scanners/takeover/scan.ts
monitoring/src/pipelines/asset-scanners/cloud-buckets/scan.ts
monitoring/src/pipelines/asset-scanners/typosquat/index.ts

Questions ouvertes

L’instantané doit-il garder l’écriture dans les stockages en ligne pour les prospects ?
Faut-il retenter une tâche d’expiration fermée sur un refus de l’annuaire plutôt que d’attendre 30 jours ?