Exemple de rapport
Sachez quoi corriger ensuite.
Un rapport utile relie une observation à ses conséquences, à la personne qui peut agir et à une méthode de vérification.
Exemple fictif pour example.test. Ces trois vérifications illustrent le rapport ; aucun site n’a été analysé et aucune donnée client n’est présentée.
Commencez ici
Points à examiner : 1 · Contrôles non évalués : 1
Mémoriser HTTPS avec HSTS · Hébergeur
Dans cet exemple, HTTPS fonctionne, mais la réponse ne demande pas aux navigateurs de le mémoriser. Examinez HSTS avec l’hébergeur.
Une observation rassurante ne constitue pas une certification de sécurité. La protection des comptes reste inconnue : une vérification publique du site ne permet pas de l’inspecter.
Contrôles et suites proposées
Mémoriser HTTPS avec HSTSÀ examiner
Un en-tête ou une directive attendue manque ou ne satisfait pas cette vérification.
Priorité : Faible · Confiance élevée
- Conséquence pratique
- Sans HSTS, un navigateur peut tenter HTTP lors d’une visite ultérieure.
- Responsable à solliciter
- Hébergeur
- Démarche et précautions
- Après validation d’un HTTPS fiable, activez HSTS avec un max-age court. Vérifiez tous les hôtes concernés avant includeSubDomains ou preload. Une politique mémorisée peut persister après un retour arrière.
- Critère de vérification
- Revérifiez la présence d’un max-age positif ; contrôlez séparément le comportement du navigateur.
- Limites
- La présence de l’en-tête ne prouve pas la robustesse de toute la politique.
Certificat HTTPSObservé
Le certificat a été validé pour la connexion observée.
Priorité : Information · Confiance élevée
- Conséquence pratique
- Un certificat rejeté peut empêcher les visiteurs d’établir une connexion de confiance.
- Responsable à solliciter
- Hébergeur ou administrateur du site
- Démarche et précautions
- Vérifiez le nom d’hôte, la chaîne et la validité du certificat avec l’hébergeur. Gardez une configuration fonctionnelle pour revenir en arrière ; ne demandez pas de contourner les alertes.
- Critère de vérification
- Une nouvelle connexion à ce nom d’hôte valide le certificat.
- Limites
- Une seule connexion est vérifiée. Tous les paramètres TLS ne sont pas audités et le site n’est pas certifié.
Authentification multifacteur des comptesNon évalué
La protection des comptes nécessite des preuves autorisées distinctes.
Priorité : Information · Preuves insuffisantes
- Conséquence pratique
- Les pages publiques ne permettent pas d’établir la protection des comptes administrateurs.
- Responsable à solliciter
- Titulaire du compte ou administrateur des identités
- Démarche et précautions
- Revoyez la protection des comptes avec le fournisseur. Avant tout changement, vérifiez l’accès de secours et conservez les moyens de récupération en sécurité pour éviter un blocage.
- Critère de vérification
- Une revue autorisée du compte démontre le MFA et teste la procédure de récupération convenue.
- Limites
- Aucune connexion n’a été tentée. Cette base publique ne peut pas vérifier le MFA.
Éléments de l’exemple
Cette réponse HTTPS fictive présente un certificat valide et du contenu HTML, mais aucun en-tête Strict-Transport-Security.
https://example.test/ HTTP 200 content-type: text/html
Les rapports réels conservent les observations datées et leurs références d’intégrité. Ils décrivent le nom d’hôte et la réponse vérifiés, sans couvrir toutes les pages ni tous les comptes.
Du rapport à une correction vérifiée
- Choisissez une priorité et examinez les preuves et les précautions de retour arrière avec votre contact technique.
- Effectuez la modification dans votre infrastructure après en avoir examiné les effets. Le service n’applique aucune correction automatiquement.
- Revérifiez le constat choisi et comparez la nouvelle observation au rapport précédent.