Analyse externe non intrusive
Comprendre ce qui a été observé, quand, et ce que cela signifie
Utilisez ce guide pour évaluer le périmètre, les éléments et les limites d'un rapport. Il explique les résultats visibles à l'aide d'un exemple fictif et montre comment lire les populations et les dates qui sous-tendent nos études sectorielles.
En bref.
Nos analyses reposent sur des vérifications externes, limitées et non intrusives. Elles ne tentent aucune exploitation, aucun test d'identifiants ni aucune modification intentionnelle des systèmes ciblés. Les vérifications combinent des registres publics, du renseignement externe et des connexions limitées aux services exposés au public. Les éléments manquants restent signalés comme tels.
Une seule règle décide de ce qui fait partie d'une analyse et de ce qui n'en fait pas partie.
Chaque vérification MyDomainRisk est une observation externe non intrusive. Nous examinons ce qu'un domaine montre déjà à l'Internet public : ses enregistrements DNS, ses certificats, les en-têtes envoyés par son site web, ce qu'en disent les sources publiques de renseignement sur les menaces. Les vérifications de protocole du site web effectuent un petit nombre limité de négociations TLS sans envoyer de données applicatives. Elles n'énumèrent pas les suites de chiffrement et ne tentent aucune exploitation. Les registres de collecte pour DNSSEC, les fichiers de divulgation et le stockage cloud distinguent les vérifications terminées, incomplètes et indisponibles ; une collecte terminée n'est pas une réussite de sécurité. Les rapports historiques conservent leurs éléments d'origine. Le renseignement sur le routage RPKI est actuellement indisponible. Le renseignement publié sur les vulnérabilités ajoute du contexte sans envoyer de sondes supplémentaires à la cible.
Une évaluation de domaine décrit le domaine sélectionné et les éléments publics disponibles pour les vérifications effectuées. Elle ne recense pas tous les systèmes qu'utilise une organisation. Un même domaine peut servir plusieurs sites ou organisations, et une même organisation peut utiliser plusieurs domaines.
Une vérification de page d'accueil, une analyse de sécurité complète et une surveillance quotidienne programmée n'ont pas la même couverture. Lisez le domaine évalué, la date d'analyse, les constats et la disponibilité des éléments indiqués dans le rapport. Les vérifications propres à chaque formule sont décrites ci-dessous ; une évaluation plus courte ne doit pas être considérée comme un inventaire complet.
Les résultats de sécurité décrivent la posture technique observable. Les résultats d'authenticité portent sur des signes de tromperie ou d'identité suspecte. Un domaine bien configuré peut tout de même être trompeur, et une organisation authentique peut présenter des faiblesses de configuration.
Des vérifications délimitées lisent les enregistrements DNS publics, les réponses des sites web et les services annoncés. Une réponse étaye ce qui était observable à ce moment-là ; elle n'établit pas l'état des systèmes internes.
Le renseignement publié et commercial apporte un contexte sur les menaces, les services, les certificats et l'exposition des identités. Son observation peut être antérieure à l'analyse. Lisez la date conservée de la source lorsqu'elle est disponible.
Une copie conservée et datée peut être utilisée lorsque des éléments récents ne sont pas disponibles. Ouvrir un rapport ne rend pas ces éléments récents. Une date d'observation non enregistrée reste non enregistrée.
La date d'analyse, la date d'observation d'un renseignement et la date d'achèvement d'une vérification différée décrivent des événements différents. Un ajout ultérieur élargit les éléments disponibles ; il ne prouve pas à lui seul qu'un risque est apparu plus tard ni qu'un problème antérieur a été corrigé.
Les éléments disponibles étayent la vérification indiquée. Cela vaut pour cette vérification et sa date d'observation ; cela ne certifie pas l'organisation.
Le rapport conserve un problème observé. Lisez les éléments et les limites d'applicabilité, puis validez le constat avec son responsable technique.
Le rapport identifie une mesure dont la pertinence dépend de l'usage du domaine. Examinez ce contexte avant de décider d'une modification.
Les éléments disponibles n'ont pas permis d'établir un résultat. Une requête restée sans réponse ou une réponse incomplète ne prouve pas une configuration sécurisée.
La vérification n'a pas été effectuée dans cette évaluation. Elle peut sortir du périmètre de l'analyse sélectionnée ; ce n'est pas un résultat conforme.
Une vérification complémentaire attend d'être achevée. L'analyse peut publier ses résultats existants, et l'ajout daté apparaît plus tard. Les ajouts en file d'attente ne modifient pas les scores.
Lisez le score publié avec les constats, la couverture et les dates. Il décrit cette évaluation ; ce n'est ni une probabilité d'incident ni une garantie de sécurité.
Un score présenté comme « au moins » est un minimum publié avec des éléments incomplets. Conservez cette réserve lorsque vous le citez. Ce n'est ni un score exact ni une mesure avant/après directement comparable.
Le rapport n'a pas pu publier de score principal. Lisez les constats disponibles et l'explication des éléments manquants. L'absence de score n'est pas un zéro, et les constats observés de manière indépendante restent utiles.
Les rapports expliquent les constats visibles, leurs implications et les actions suggérées. Une correspondance avec une vulnérabilité nécessite de vérifier qu'elle s'applique ; une adresse exposée peut appartenir à un hébergeur ; des enregistrements d'identité ne prouvent pas à eux seuls que les propres systèmes d'une organisation ont été piratés. Examinez les éléments à l'appui avant d'agir.
Ces entrées inventées montrent comment interpréter les états des éléments. Il ne s'agit ni de l'analyse d'une organisation réelle, ni d'un calcul de score, ni d'une affirmation sur la fréquence de ces problèmes.
Problème observé · politique de messagerie
Le rapport a observé une politique de surveillance publiée à la date indiquée. Examinez les expéditeurs légitimes et les éléments de messagerie avec l'administrateur de messagerie du domaine avant de durcir la politique. Cette observation ne teste pas la manière dont chaque destinataire a traité un message réel.
Non vérifié · en-têtes du site web
L'évaluation n'a pas pu établir la configuration des en-têtes. Elle n'établit ni qu'un en-tête est absent, ni qu'il est présent. Lisez séparément les autres constats conservés et la réserve sur le score du rapport.
Renseignement daté · logiciel
Lisez la date d'observation et le statut de vérification. Confirmez en privé le produit réel, le niveau de correctif et la configuration concernée. Une correspondance de version ne prouve ni une exploitation ni une compromission.
En file d'attente · examen des hôtes liés
Le rapport d'origine conserve sa date d'analyse. Lorsque l'examen s'achève, son ajout porte une date distincte et le score reste inchangé. Les éléments supplémentaires n'établissent ni un nouvel incident ni une correction vérifiée.
Commencez par la population et le rapport source daté. Une liste de domaines suivis constitue la population de l'étude ; ce n'est pas automatiquement un recensement d'organisations, de sites ou de personnes. Une étiquette public/privé ou régionale n'établit pas une couverture représentative.
Distinguez les domaines suivis, les évaluations achevées et les scores publiés. La fréquence d'un constat peut décrire le sous-ensemble noté ou évaluable ; utilisez le dénominateur indiqué à côté du chiffre.
Les domaines analysés sans score publié sont exclus des moyennes et comptés à part. Ce ne sont pas des domaines à score nul ; les constats observés de manière indépendante restent des éléments probants.
Une moyenne incluant les planchers utilise les bornes inférieures publiées à leur valeur affichée et reste une moyenne « au moins ». Une moyenne des seuls scores ponctuels décrit un sous-ensemble différent.
Lisez séparément les dates d'analyse principales et les dates des éléments différés. Des listes qui se chevauchent ne doivent pas être additionnées en un total de domaines uniques. Des éléments ultérieurs et une composition modifiée peuvent changer les chiffres sans démontrer d'évolution de la posture.
Des populations, des dates, une couverture ou des méthodes d'évaluation différentes peuvent empêcher une comparaison équitable. Un constat absent, une vérification indisponible ou une comparaison incomplète n'établit pas une correction.
Exemple de population fictive : Une liste compte 12 domaines et 12 évaluations achevées, mais seulement neuf scores publiés : sept scores ponctuels et deux bornes inférieures. Les trois autres restent non notés. Une moyenne des scores publiés décrit donc neuf domaines, tandis qu'une moyenne des seuls scores ponctuels en décrit sept. Ni l'une ni l'autre n'est une moyenne sur les 12.
Chaque étude publiée et son PDF conservent leurs propres dates d'observation, leur périmètre et leurs réserves. Ce guide ne remplace pas ces documents et ne transforme pas une étude en certification, en classement national ou en évaluation des systèmes internes.
La question que se pose chaque MSP et chaque propriétaire de plusieurs domaines avant d'activer la surveillance planifiée.
Des limites de collecte encadrent chaque vérification. Des analyses répétées ou simultanées génèrent tout de même du trafic, y compris entre domaines qui partagent une infrastructure.
La description de l'analyse explique les vérifications que nous effectuons ; ce n'est pas une garantie générale d'autorisation ni de la réaction d'un système cible.
Nous ne tentons aucune exploitation, aucun test d'identifiants ni aucune modification intentionnelle des systèmes ciblés.
Des analyses répétées génèrent des requêtes. La collecte limitée encadre chaque vérification ; elle ne garantit ni la réponse d'une cible, ni l'absence d'alertes, ni l'autorisation d'analyser.
Des observations de ce qui est exposé au public et du renseignement externe, avec une couverture propre à chaque offre et des limites explicites.
Les analyses complètes Pro/MSP échantillonnent jusqu'à six serveurs de noms annoncés et deux serveurs parents, ainsi que jusqu'à cinq serveurs de messagerie, à une adresse publique chacun. Des fiches d'éléments datés montrent les réponses DNS, le TLS de la messagerie et les liaisons de certificat DANE authentifiées prises en charge. Les réponses manquantes restent non vérifiées. Des réponses concordantes ne prouvent ni une infrastructure indépendante ni une disponibilité continue. Aucun e-mail n'est envoyé ; les analyses Gratuit et la surveillance quotidienne ne comprennent pas ces indicateurs.
Validité et expiration des certificats, ainsi que des négociations TLS 1.0 à 1.3 limitées sur le port 443 du site web, sur toutes les offres. Les sondes indisponibles restent non vérifiées ; cela n'énumère pas les suites de chiffrement et ne certifie pas la configuration.
Enregistrements de messagerie publiés, structure des clés DKIM observées, ainsi que syntaxe de la politique MTA-STS et correspondance avec les serveurs de messagerie. La validation DNSSEC est présentée séparément de la présence d'enregistrements de signature. Les éléments indisponibles restent non vérifiés ; ces vérifications ne testent pas l'authentification réelle des messages.
Les en-têtes HTTP de protection que votre site envoie avec chaque page.
Observations publiées de services et de vulnérabilités, complétées par des vérifications de connexion limitées. Le renseignement daté sur l'exploitation connue aide à hiérarchiser les vulnérabilités signalées, sans affirmer une compromission ni modifier le score du domaine. Lorsque les versions observées correspondent à la couverture limitée du cycle de vie, les rapports affichent un contexte daté sur le support en amont. Les rétroportages des distributions, le support étendu des éditeurs et l'état des correctifs installés restent non vérifiés. Cela n'ajoute aucune requête vers la cible.
La Network Map Pro/MSP comprend une liste adaptée aux mobiles et une carte dépliable des localisations IP observées pour le site web, la messagerie et le DNS, avec les dates de consultation, les frontières des pays et des commandes de zoom et de déplacement. Les localisations sont approximatives : les adresses de CDN, de proxy et anycast peuvent correspondre à un point de présence en périphérie, pas à l'origine. L'emplacement physique des serveurs et la résidence des données restent non vérifiés. Les localisations manquantes restent inconnues. Cela n'ajoute aucune requête vers la cible et ne modifie pas le score de sécurité.
Expiration de l'enregistrement, verrous de transfert et configuration DNS. Les analyses complètes Pro/MSP examinent automatiquement jusqu'à 50 hôtes liés par domaine analysé à partir des registres publics de certificats, y compris des certificats plus anciens et expirés, et de vérifications DNS/HTTPS limitées. La surveillance quotidienne ne comprend pas cet examen. La découverte est incomplète et les indicateurs nécessitent une vérification de propriété ; ils ne confirment pas une prise de contrôle et ne modifient pas le score principal.
Des domaines enregistrés qui imitent le vôtre : la matière première de l'hameçonnage visant vos clients et votre personnel.
Si votre domaine, votre infrastructure ou les identifiants de vos salariés figurent dans des flux de renseignement sur les menaces publics et commerciaux de confiance.
Le sous-ensemble vérifiable de l'extérieur de l'article 32 du RGPD, de PCI DSS et des référentiels associés, présenté comme éléments pour les auditeurs.
Nous comparons les vérifications visibles de l'extérieur de l'analyse aux recommandations actuelles et à des référentiels de sécurité transparents. Un bon résultat est un élément utile montrant que votre domaine public répond à bon nombre des mêmes attentes techniques ; ce n'est ni une certification, ni une décision de conformité, ni un substitut aux tests internes.
Analyse comparative revue le 17 août 2026
Proche signifie une large couverture de la même surface externe. Fort recouvrement signifie de nombreuses vérifications communes au sein d'un référentiel spécialisé plus étroit. Éléments à l'appui désigne uniquement certaines exigences, et Limité désigne seulement une petite partie, visible de l'extérieur, d'un cadre bien plus large.
Cette liste est un engagement, pas une description de limites actuelles.
Tout ce qui irait plus loin (et nous n'ajouterions que très peu de choses) serait distinct, clairement signalé, soumis à adhésion et conditionné à la preuve vérifiée que le domaine vous appartient. Rien de tel ne serait jamais ajouté discrètement à l'analyse standard.
Les requêtes web encadrées identifient notre scanner. À propos de notre scanner explique les en-têtes d'identification, les requêtes signées, la collecte des pages et la manière dont l'exploitant d'un site peut le bloquer.
L'observation externe ne peut pas tout voir, et nous préférons le dire.
Nous n'évaluons ni votre réseau interne, ni vos postes de travail, ni les pratiques de votre personnel, ni rien de ce qui se trouve derrière une connexion. Une analyse est une vue de votre risque parmi d'autres, à utiliser de préférence avec des revues internes et des tests d'intrusion.
Aucun constat défavorable n'a été retenu dans le cadre des vérifications et des éléments disponibles pour cette évaluation. Lisez la couverture et les dates en parallèle. Un résultat n'établit pas que l'ensemble de l'organisation est sûr ou exempt d'activité malveillante.
MyDomainRisk est conçu et exploité par Huro Data Technologies Ltd., une société britannique, qui vit de ses abonnements, sans capital-risque, sans publicité, sans vente de données ni revente de vos informations. Le traitement des données est documenté dans notre politique de confidentialité et dans notre engagement RGPD ; les chercheurs en sécurité peuvent consulter notre politique de divulgation des vulnérabilités ici.
L'outil de vérification de notre page d'accueil lance de vraies vérifications sans compte et montre exactement le type de constats qu'une analyse complète produit. Vous pouvez aussi parcourir d'abord un exemple de rapport pour voir comment se lit une analyse complète.