Conditions du scan
Ce que fait le service quand il scanne un site, ce qu'il ne fait jamais, et ce à quoi vous vous engagez en lançant un scan.
Votre engagement
Ne faites scanner que des sites qui vous appartiennent, ou dont le propriétaire vous a autorisé à le faire : vous êtes alors mandaté. Cet engagement vaut pour chaque scan, avec ou sans compte.
Deux cases peuvent vous le faire déclarer, quand le service les propose. Voici leur texte exact.
- Pour le scan public, sans compte : « Je confirme être autorisé à scanner cette URL (c'est mon site, ou j'en ai la permission). » Cette case n'est pas enregistrée : elle conditionne seulement le lancement du scan.
- Pour autoriser les tests actifs sur un site enregistré dans votre compte : « Je certifie être propriétaire de (nom du site) ou avoir l'autorisation de son propriétaire pour y lancer des tests de sécurité actifs, et j'en assume la responsabilité. » Le service garde la date de cette déclaration et le compte qui l'a faite.
Sur le service en ligne, la case des tests actifs n'est pas proposée : sa politique ne lance que des contrôles d'observation (voir plus bas).
Le service est aujourd'hui ouvert sur invitation seulement : le scan public sans compte, et donc sa case, ne sont pas proposés non plus. En ligne, vous ne cochez donc aucune de ces deux cases, et l'engagement ci-dessus s'applique tout de même à chaque scan.
Avec un compte, ajouter un site à surveiller ne vous demande aucune déclaration, mais le même engagement s'applique. Vous êtes responsable des sites que vous faites scanner : scanner un site sans en avoir le droit peut engager votre responsabilité.
Ce que fait le scan
Il observe le site depuis l'extérieur, comme le ferait un visiteur. Il lit ce que le site sert à tout le monde : pages, en-têtes, certificat et chiffrement, enregistrements DNS, scripts publiés. Il consulte aussi des sources publiques, comme les journaux de certificats et le registre du nom de domaine.
Chaque rapport liste les contrôles exécutés, et ceux qui ne l'ont pas été, avec leur raison.
Jusqu'où il va
Le scan public, sans compte, s'en tient à ces contrôles d'observation.
Des contrôles plus poussés existent : chercher des fichiers et des chemins connus pour être sensibles, envoyer des valeurs dans les paramètres des pages, tester les ports réseau, appliquer des signatures d'exposition connues. Ils ne partent que si trois conditions sont réunies : le scan est lancé depuis un compte, la propriété du site est prouvée (par un enregistrement DNS ou un fichier publié sur le site) ou déclarée (par la case des tests actifs, là où elle est proposée), et la politique du service les autorise.
La configuration de production du service fixe une politique d'observation seule : sur le service en ligne, aucun de ces contrôles poussés ne part, même pour un site dont la propriété est prouvée.
Ce que le scan ne fait jamais
- Il ne modifie rien sur le site : ses requêtes web se contentent de lire, sans jamais envoyer de formulaire, ni créer ou changer quoi que ce soit.
- Il ne tente de se connecter à aucun compte et n'essaie aucun mot de passe.
- Il n'utilise aucun accès privé : ni à votre code source, ni à l'administration de votre serveur ou de votre hébergement.
- Il n'exploite pas une faille trouvée : il la signale dans le rapport.
Votre site a été scanné sans votre accord ?
Les requêtes web du scan s'annoncent avec l'identifiant « Anshedu-scanner ». Écrivez à contact@anshedu.fr en indiquant l'adresse de votre site.
Texte à faire relire par un juriste avant l'ouverture publique.