Accès maîtrisé
Les espaces et leurs données sont rattachés à une organisation. Les actions sensibles sont contrôlées côté serveur et réparties selon les rôles attribués.
SÉCURITÉ AXISECURITY
La sécurité du service fait partie du service.
AxiSecurity est conçu pour produire des diagnostics exploitables sans transformer un simple scan en opération intrusive. La protection de la plateforme, la séparation des organisations et l’autorisation des tests sont des exigences de fonctionnement, pas des options commerciales.
Scans bornés
Le scan gratuit réalise des mesures externes passives. Les analyses actives, authentifiées ou à impact potentiel nécessitent une vérification et une autorisation explicites.
Rapports protégés
Les rapports publics sont expurgés des détails sensibles. Les téléchargements reposent sur des liens temporaires et l’accès aux corrections détaillées est conditionné à des vérifications complémentaires.
Données limitées
Les coordonnées de scan gratuit sont chiffrées, les adresses IP ne sont pas conservées en clair et les données sont purgées selon une durée définie.
Architecture et séparation des accès
Les actifs, résultats, rapports et autorisations sont associés à l’organisation concernée. Les moteurs de scan sont exécutés par des workers distincts de la requête Web qui pilote l’interface. Cette séparation réduit le risque qu’une page publique, un formulaire ou une consultation de résultat déclenche directement une opération réseau longue ou sensible.
Les secrets, jetons et identifiants fournis dans le cadre d’une mission authentifiée ne doivent pas apparaître dans les pages publiques, les exports non protégés ou les journaux applicatifs. Les actions d’administration, les changements de statut et les autorisations sont journalisés afin de faciliter l’investigation et le contrôle des opérations.
Ce qu’est — et ce que n’est pas — un test d’intrusion
Un test d’intrusion est une mission contrôlée destinée à évaluer la résistance d’un périmètre défini. Il ne se limite pas à l’exécution d’un scanner : il implique un mandat, des règles d’engagement, des exclusions, des limites de charge, des contacts d’astreinte, une fenêtre de tir et une restitution. Selon le périmètre, il peut couvrir l’authentification, les sessions, les contrôles d’accès, les API, les téléversements, les erreurs de configuration et certains scénarios métier.
Il ne comprend jamais, sans accord écrit spécifique, de déni de service, de social engineering, de collecte de données disproportionnée, de pivot vers un environnement tiers ou de modification de données. La plateforme peut interrompre une action si la cible, le périmètre ou l’autorisation ne sont pas suffisamment établis.
Données, cookies et confidentialité
Les cookies strictement nécessaires permettent notamment de sécuriser la session, de mémoriser une préférence de confidentialité et d’assurer le fonctionnement du tunnel. Les traceurs de mesure ou marketing, lorsqu’ils existent, restent optionnels et ne sont pas activés par défaut. Les détails sont disponibles dans la politique cookies.
Le scan gratuit collecte uniquement les éléments nécessaires au service demandé. La messagerie et le téléphone associés au scan sont chiffrés avant stockage ; l’empreinte IP est utilisée pour prévenir les abus sans conserver l’adresse en clair. La politique de confidentialité décrit les finalités, les destinataires, les durées et les droits.
Signalement, correction et amélioration continue
Un résultat rouge indique un élément jugé dangereux au regard du contrôle exécuté ; un résultat orange signale une configuration à analyser ou à renforcer ; le vert indique qu’un contrôle a abouti de manière satisfaisante dans le périmètre du scan ; le gris correspond à une observation passive ou à un point à confirmer : le contrôle a été exécuté, mais il ne devient jamais une conformité sans preuve suffisante. Les corrections doivent être validées avant déploiement, en particulier lorsqu’elles modifient des en-têtes HTTP, TLS, une politique de cookies ou une configuration de serveur.
Pour signaler une vulnérabilité affectant AxiSecurity, demander un devis de remédiation ou décrire un besoin de test encadré, utilisez le formulaire de contact. Ne transmettez pas de secret ni de donnée personnelle inutile dans votre premier message.