Scanners web, DNS et mail

Scanner	Où	Fréquence (suivi complet)
Disponibilité et sécurité du site, certificat, protection du courrier, fichiers sensibles	monitoring	7 jours
Technologies du site	monitoring ou noeud de scan	7 jours
Technologies du site (navigateur)	navigateur distant	30 jours, plafond d’heures

Tous prennent un domaine ou un sous-domaine. Cadence commune de la disponibilité, du certificat et de la protection du courrier : programmés toutes les 6 heures, 12 tâches par passage de 30 minutes, ainsi qu’en instantané et en flash. Sources : Sources. Les identifiants techniques sont dans la Correspondance technique.

Disponibilité et sécurité du site

Surveille. Détecte la panne du site (gravité élevée sur le domaine, faible sur un sous-domaine), le HTTPS non imposé (moyenne), les en-têtes de sécurité absents, la possibilité d’intégrer le site dans une page tierce pour piéger l’utilisateur (clickjacking), les cookies non sécurisés et une clé Google exposée dans la page, tous de gravité faible. Panne, clickjacking et clé exposée sont hors note.
Entrée. Une requête sur la version non chiffrée du site, 10 redirections au plus avec contrôle contre le détournement de requêtes à chaque saut, délai de 10 s pour toute la chaîne. Six en-têtes sont notés sur 100 ; un en-tête manquant est de gravité moyenne sous 40, faible de 40 à 69, information au-dessus.
Quand. Cadence commune, plus la cascade de la découverte.
Solution de repli. Aucune erreur ne remonte : l’échec est enregistré avec un statut critique. La panne exige deux échecs consécutifs. Les constats restent ouverts tant que le site ne répond pas correctement.
Limites. Une seule page (l’accueil). Un hôte sans adresse IP est vu comme hôte privé bloqué, ce qui ne crée jamais de panne.

Certificat du site

Surveille. Détecte un certificat absent ou refusé (gravité critique), expiré (critique), expirant sous 30 jours (critique sous 7, élevée sous 14, moyenne ensuite), un changement d’autorité de certification (moyenne) et un certificat révoqué encore valide (information).
Entrée. Une requête de contrôle en HTTPS (erreur 525 ou 526 si le certificat est refusé), puis le journal CertSpotter, puis crt.sh si CertSpotter ne donne rien.
Quand. Cadence commune.
Solution de repli. Les deux journaux en échec avec un HTTPS vivant : statut correct sans certificat, donc sans alerte. Les deux en échec et HTTPS mort : statut en erreur. L’absence de certificat exige deux échecs.
Limites. Les journaux de transparence disent ce qui a été émis, pas ce qui est servi : un certificat expiré dans les journaux mais accepté par le site ne crée pas d’alerte d’expiration.

Protection du courrier

Surveille. Détecte les défauts de protection du courrier : SPF ou DMARC absents (moyenne), SPF invalide, politique SPF ou DMARC faible, clé DKIM faible (faible ; la politique SPF « tout autoriser » est moyenne), absence d’enregistrement CAA (information, domaine seulement), et le verdict « courrier usurpable » (élevée si non protégé, moyenne si partiel). Seul ce verdict compte dans la note du courrier.
Entrée. Un sous-domaine sans serveur de messagerie, SPF ni DMARC propre n’alerte pas. Pour DKIM : 5 sélecteurs fixes plus ceux déduits du fournisseur.
Quand. Cadence commune.
Solution de repli. Une recherche en échec vaut « inconnu » : aucune alerte de courrier n’est levée ni résolue. Pas de nouvelle tentative.
Limites. Les sélecteurs DKIM sont devinés : un sélecteur maison passe inaperçu. Les protections MTA-STS et TLS-RPT sont lues mais n’alertent pas.

Technologies du site

Surveille. Détecte les technologies et leurs versions (nouvelle technologie, version changée : information) et le logiciel obsolète (gravité élevée si fin de vie, faible si en retard, jamais dans la note).
Entrée. Une requête sur la version non chiffrée du site, présentée comme un navigateur ordinaire, délai de 15 s. Les règles de détection Wappalyzer et la liste de fins de vie (endoflife.date) sont embarquées : elles ne changent qu’à chaque mise en production.
Quand. Par le monitoring, sauf si un noeud en ligne annonce cette capacité : l’étape saute alors (Noeud de scan). Programmé à 02:15 UTC, 8 tâches par passage de 10 minutes. Flash : 5 s.
Solution de repli. Un échec donne un résultat vide en statut critique, sans nouvelle tentative. Si les signaux annoncent une page construite côté navigateur et que le client est en suivi complet, la version par navigateur est programmée (priorité 70, délai de 14 jours).
Limites. Page d’accueil seulement. Une technologie qui disparaît n’efface ni son observation ni son alerte de logiciel obsolète. Un résultat du noeud n’a pas de signaux : il ne déclenche jamais la version par navigateur.

Technologies du site (navigateur)

Surveille. Détecte les technologies que seul le JavaScript exécuté révèle, avec les mêmes constats que les technologies du site.
Entrée. Un hôte hors CDN d’un client en suivi complet. Un navigateur Cloudflare rend la page (20 s au plus) et relit son contenu.
Quand. Navigateur distant piloté par le monitoring. Trois voies : escalade depuis les technologies du site ; balayage mensuel (15 tâches au plus par passage de 10 minutes) tant que la consommation reste sous 80 % du plafond au prorata ; à la demande par l’interface. 14 jours entre deux rendus d’un même hôte.
Solution de repli. Le lot est refusé et les tâches remises en attente si la fonction est désactivée, si le navigateur n’est pas relié, si la consommation Cloudflare est illisible (par prudence) ou si le plafond de 8 h par mois est atteint. Sans les identifiants du compte Cloudflare, aucun rendu. Un rendu en erreur n’est pas repris.
Limites. Aucun prospect n’est rendu.

Fichiers sensibles exposés

Surveille. Détecte un fichier de configuration lisible et un dépôt de code exposé (gravité élevée), une interface d’administration publique (information, hors note).
Entrée. 5 requêtes de lecture en HTTPS en parallèle (fichier de configuration, dépôt de code, pages d’administration et de connexion). Un constat exige une signature de contenu ; un chemin qui répond sans signature n’alerte jamais. Le contenu n’est jamais stocké.
Quand. Programmé toutes les 6 heures, 2 tâches par client et 10 au total par passage de 10 minutes. Instantané et flash.
Solution de repli. Un chemin injoignable garde son observation et son alerte. Un blocage de sécurité de la requête n’écrit ni ne résout rien. Pas de nouvelle tentative.
Limites. Cinq chemins fixes. Il sonde encore les prospects, ce que la règle juridique interdit : voir Décisions.

Règles et pièges

Version non chiffrée d’abord. La disponibilité et les technologies partent de la version non chiffrée du site ; le certificat, les fichiers sensibles et le navigateur utilisent HTTPS.
Constats hors note. Montrés sans effet sur la note : logiciel obsolète, panne du site, changement d’autorité de certification, certificat révoqué, clickjacking, clé exposée, clé DKIM faible, absence de CAA, constats de technologie et chaque alerte SPF ou DMARC prise seule.

Où dans le code

monitoring/src/pipelines/asset-scanners/http/scan.ts
monitoring/src/pipelines/asset-scanners/tech-stack-browser/scan.ts
monitoring/src/pipelines/asset-scanners/dns-extended/scan.ts

Questions ouvertes

Faut-il lire le coffre de clés pour CertSpotter dans le scan flash et pour la découverte des prospects, comme le fait le certificat ?
Un sous-domaine sans adresse IP doit-il vraiment passer sous silence côté disponibilité ?