À propos de MyDomainRisk-Scanner

De quoi s'agit-il

MyDomainRisk est un service d'évaluation externe de la posture de sécurité. Une analyse examine ce qu'un domaine montre à n'importe quel visiteur sur Internet (son certificat, ses en-têtes de sécurité, ses enregistrements e-mail et DNS publiés, et le renseignement public le concernant) et le transforme en un rapport rédigé en langage clair. Rien n'est installé nulle part et rien ne nécessite d'accès à vos systèmes. Notre méthode d'analyse décrit l'ensemble du périmètre.

Comment il s'identifie

Les requêtes portent cet agent utilisateur :

Mozilla/5.0 (compatible; MyDomainRisk-Scanner/1.0; +https://mydomainrisk.com/scanner)

Si votre site refuse la page d'accueil ou la requête en HTTP simple, l'analyseur peut répéter cette seule requête une fois avec l'agent utilisateur d'un navigateur courant. La répétition porte toujours un en-tête X-MyDomainRisk-Scanner: https://mydomainrisk.com/scanner , est signée de la même manière et respecte toujours votre robots.txt. Un second refus est signalé comme non vérifié, et non comme un problème de votre site.

Les requêtes sont également signées cryptographiquement au moyen des HTTP Message Signatures (Web Bot Auth). La clé publique est publiée sous forme d'annuaire de clés signé à l'adresse :

https://api.mydomainrisk.com/.well-known/http-message-signatures-directory

Une requête portant Signature-Agent: "https://api.mydomainrisk.com" dont la signature est validée par cette clé provient bien de nous. Une requête qui se contente de copier l'agent utilisateur ne vient pas de nous.

Ce qu'il récupère

• La page d'accueil (https://), ainsi que http:// avec chaque étape de redirection renvoyée, pour voir si et comment elle aboutit en https.
• Un petit nombre de fichiers de politique connus : /.well-known/security.txt, /.well-known/gpc.json et la politique MTA-STS sur le sous-domaine mta-sts.
• Quelques chemins courants de politique de confidentialité, comme /privacy et /privacy-policy, pour confirmer qu'une politique est publiée.
• La page d'accueil d'un petit nombre de noms d'hôte liés, trouvés dans les registres publics de certificats, lorsque leur DNS pointe vers un service hébergé qui pourrait ne pas être configuré.

Nos analyses reposent sur des vérifications externes, limitées et non intrusives. Elles ne tentent aucune exploitation, aucun test d'identifiants ni aucune modification intentionnelle des systèmes ciblés. Les vérifications combinent des registres publics, du renseignement tiers et des connexions limitées aux services exposés au public. Elles n'équivalent pas à une simple visite avec un navigateur.

robots.txt

L'analyseur lit /robots.txt avant de récupérer toute page et ne récupère pas les pages qu'il interdit, que la règle s'adresse à MyDomainRisk-Scanner ou à tous les agents. Il respecte Crawl-delay. Les pages qu'il n'a pas le droit de récupérer apparaissent dans le rapport comme non vérifiées (jamais comme une réussite ni comme un échec). Chaque page atteinte par redirection suit la politique de sa propre origine. Si la politique ne peut pas être récupérée ou si son délai dépasse notre budget de collecte, nous ne récupérons pas la page. Les points de terminaison de protocole sont distincts de l'exploration des pages. Les requêtes peuvent apparaître dans les journaux ou déclencher des alertes.

Ce qu'il ne fait jamais

• Aucune exploration au-delà des pages listées ci-dessus. Nous ne suivons pas les liens à travers un site.
• Aucun formulaire soumis, aucune tentative de connexion, aucun identifiant d'aucune sorte.
• Aucune exploitation, aucun fuzzing, aucun trafic d'attaque simulée ni aucune requête en masse. Une analyse envoie à un site un nombre réduit et limité de requêtes.
• Aucune donnée personnelle de la personne qui a demandé l'analyse n'est transmise au site.

Bloquer l'analyseur ou nous contacter

Pour empêcher l'analyseur de récupérer des pages de votre site, ajoutez une règle à votre robots.txt :

User-agent: MyDomainRisk-Scanner
Disallow: /

Questions ou préoccupations : support@mydomainrisk.com. Merci d'indiquer le nom d'hôte et l'heure approximative relevés dans vos journaux.