Ce que vérifie une évaluation
Les évaluations observent le DNS public autorisé, TLS, le comportement HTTPS et certains en-têtes de sécurité. Les nouvelles autorisations incluent aussi la publication MX, SPF et DMARC directe. Les mandats existants gardent leur périmètre initial. Les rapports distinguent observations, points à examiner et contrôles non évalués.
Le site exact doit disposer d’un contrôle de domaine vérifié, d’un mandat représentatif valide et d’un accès aux évaluations activé.
- Lisez le périmètre et la couverture du rapport.
- Commencez par les constats étayés qui demandent une attention.
- Distinguez les éléments non évalués des observations vérifiées.
La collecte couvre la racine HTTP(S) du nom d’hôte exact, les redirections bornées et les enregistrements DNS A, AAAA, CAA, CNAME et NS. L’autorisation actuelle inclut aussi la publication directe de MX et SPF pour cet hôte, ainsi que DMARC à son nom _dmarc direct. L’accès aux boîtes, la distribution des messages, les politiques héritées et les domaines référencés ne sont pas testés. Le catalogue indique aussi les domaines non évalués : un nombre de vérifications ne promet pas une couverture complète.
Comprendre les résultats inconnus
Un contrôle non évalué, échoué ou sans objet ne compte pas comme un contrôle de sécurité réussi. Le rapport conserve la limite et les preuves disponibles.
Un indice de version externe ne confirme pas une vulnérabilité applicable. Une inscription publique ne prouve pas le MFA et une page publique ne prouve pas la restauration des sauvegardes.
Les contrôles publics ne prouvent ni la réception des messages, ni la protection SPF/DMARC effective, le MFA, les mises à jour internes, la restauration des sauvegardes ou la sécurité globale. Aucun accès aux boîtes, message de test, test authentifié ou exploitation n’est inclus.