Méthodologie et limites

scanmonsite.ca réalise un diagnostic technique automatisé. Ce n'est pas un audit de sécurité complet, ni un pentest, ni une certification. Un humain expérimenté trouvera des scénarios que cet outil ne couvre pas (logique métier, phishing, ingénierie sociale, revue de code, etc.).

Ce qui est vérifié dans ce MVP

• En-têtes HTTP de sécurité : CSP, HSTS, X-Frame-Options / frame-ancestors, X-Content-Type-Options.
• Validité et date d'expiration du certificat TLS.
• Présence accidentelle de fichiers sensibles à des chemins connus (.env, .git, sauvegardes courantes) — liste courte, pas de fuzzing.
• Contenu mixte : ressources http:// (images, scripts, CSS, iframes) sur une page https://.
• Attributs des cookies de la page d'accueil : Secure, HttpOnly, SameSite.
• Date d'expiration du nom de domaine via le registre public (RDAP, successeur du WHOIS). Si la date n'est pas publiée (confidentialité), le rapport le dit au lieu d'afficher un faux « aucun risque ».
• WordPress s'il est visible sur la page d'accueil (version du cœur, quelques extensions fréquentes). Comparaison avec la version stable connue. D'autres CMS ne sont pas encore identifiés.
• Enregistrements courriel du domaine : SPF, DMARC, et DKIM sur une liste fixe de sélecteurs (resend, google, selector1, selector2, s1, s2, k1, mandrill, k2, k3, zoho, protonmail, protonmail2, protonmail3, smtp, default, dkim, mail, mxvault, fm1, fm2, fm3). Si aucun n'a de clé, le constat est « DKIM non détecté parmi les sélecteurs testés — à vérifier » et ne retire aucun point. Un sélecteur sur mesure, comme celui de Postmark, n'est pas deviné.
• Réputation via Google Web Risk ou Safe Browsing v4 (malware, hameçonnage, logiciel indésirable) sur l'accueil et quelques adresses du même site. Si l'appel échoue, le constat est « Non vérifié » et le scan continue. VirusTotal n'est pas branché.
• Injections visibles dans le HTML déjà téléchargé : cadre caché vers un autre site, script externe ajouté au chargement, mineur de cryptomonnaie connu, liens masqués hors sujet. Un bloc caché seul ne suffit pas : il faut un lien externe et un thème sans rapport, sinon le constat reste « Non vérifié ».
• Bibliothèques JavaScript fréquentes sur la page d'accueil (jQuery, Bootstrap, AngularJS, Moment, Lodash, Handlebars), d'après un extrait du référentiel Retire.js — pas une revue exhaustive de tous les scripts.
• Nuclei en mode passif uniquement, présenté à part des vérifications de base. En production, un worker dédié exécute le binaire ; les constats apparaissent dans le même rapport, parfois quelques minutes après. Les templates d'exploitation active sont exclus.

Ce qui n'est pas fait

• Aucune exploitation de faille, aucun test d'intrusion actif.
• Aucun scan d'un domaine dont vous n'avez pas prouvé la propriété.
• Pas de garantie d'absence de vulnérabilités.

Calcul du score

Le score part de 100. Chaque constat retire des points : critique −25, élevé −10, moyen −5, faible −1. Une mention « conforme » ne retire rien. Le résultat (0 à 100) est converti en lettre : A (90–100), B (80–89), C (70–79), D (60–69), E (40–59), F (0–39).

Le détail de ce que nous faisons de ces mesures, et comment signaler une faille, est sur la page Sécurité et données.

Un constat critique retire 25 points : un seul suffit à descendre au plus à 75 (lettre C). Un site signalé par Google est critique. Les mentions « conforme » et « Non vérifié » ne changent pas le score.

Portée : ce qu'on a le droit de tester

Une preuve par enregistrement DNS TXT sur le domaine principal autorise les tests sur ce domaine et ses sous-domaines, dans la même zone. Une preuve par fichier ne prouve que cet hôte : aucun test actif vers un autre hôte (sous-domaine ou port). Les contrôles de cette page, listes noires et injections, lisent la page déjà obtenue ou une liste publique. Ils ne sondent pas d'autres machines.

Surveillance et alertes

Avec un abonnement de surveillance, chaque scan automatique est comparé au précédent. Un courriel part seulement s'il y a un nouveau constat critique ou élevé. S'il n'y a rien de nouveau, aucun courriel — pour éviter le bruit.