FAQ - Analyses et résultats

Comment fonctionne le scanner ?

SHS analyse les réponses HTTP retournées publiquement par les sites web afin d'identifier les différents mécanismes de sécurité présents, absents ou mal configurés.

Pour garantir une analyse impartiale et indépendante de l'observatoire en lui-même, SHS s'appuie sur le moteur d'analyse de MDN HTTP Observatory.

Ce moteur réalise les différents contrôles techniques et produit les résultats utilisés pour établir la note, le score et l'état des différents tests.

SHS récupère ensuite ces résultats, les conserve, les organise et permet de suivre leur évolution dans le temps.

Pourquoi faut-il un compte pour scanner un site ?

La consultation de l'observatoire et d'une grande partie des résultats reste accessible publiquement. En revanche, le lancement d'une nouvelle analyse nécessite d'être connecté à un compte SHS.

Chaque analyse entraîne l'utilisation de ressources techniques et génère plusieurs requêtes vers le site concerné. Demander une authentification permet donc de mieux encadrer l'utilisation du scanner et de limiter les abus, les lancements automatisés ou les analyses répétées inutilement.

Il n'est pas nécessaire d'être propriétaire du site pour demander son analyse. SHS examine uniquement des informations accessibles publiquement depuis l'extérieur ; l'authentification sert avant tout à encadrer l'accès au scanner.

Pourquoi SHS ne propose-t-il pas un scan direct ?

Parce que l'objectif principal de SHS n'est pas de proposer un scanner ponctuel, mais de construire un observatoire dans le temps.

Chaque analyse réalisée par SHS est conservée afin de permettre de suivre l'évolution d'un site, de comparer ses différents résultats et de rendre visibles les améliorations comme les dégradations de sa configuration de sécurité HTTP.

Pour effectuer simplement un contrôle ponctuel et immédiat d'un site, MDN HTTP Observatory remplit déjà très bien ce rôle. SHS s'appuie d'ailleurs sur son moteur d'analyse pour réaliser ses contrôles techniques.

SHS cherche donc surtout à apporter ce qui manque à une analyse isolée : l'historisation, le suivi dans le temps et une vision plus globale de l'évolution des pratiques observées.

Comment scanner un site ?

Pour lancer une analyse, rendez-vous sur la page du scanner puis saisissez le domaine du site à contrôler.

SHS place ensuite la demande dans sa file d'analyse, interroge le site et récupère les résultats produits par le moteur de scan.

Une fois l'analyse terminée, le résultat peut être consulté et comparé aux analyses précédentes lorsqu'un historique existe.

Dois-je saisir l'adresse complète du site ?

Il suffit généralement de saisir le nom de domaine du site que vous souhaitez analyser.

SHS se charge ensuite de préparer l'adresse nécessaire au lancement de l'analyse. Il n'est donc pas nécessaire de renseigner une URL correspondant à une page précise du site.

Combien de temps dure une analyse ?

Une analyse nécessite généralement quelques instants, mais sa durée peut varier.

Elle dépend notamment de la disponibilité du site, du temps nécessaire pour obtenir ses réponses, du déroulement du scan et du nombre d'analyses déjà présentes dans la file d'attente de SHS.

Pourquoi une analyse peut-elle échouer ?

Plusieurs situations peuvent empêcher une analyse d'aboutir correctement.

• le site est temporairement indisponible ;
• le nom de domaine ne répond pas correctement ;
• le serveur met trop de temps à répondre ;
• une protection réseau ou applicative bloque le scanner ;
• une erreur technique survient pendant l'analyse.

Un échec d'analyse ne signifie donc pas qu'un problème de sécurité a nécessairement été découvert. Il signifie simplement que le scan n'a pas pu être mené jusqu'à son terme.

SHS analyse-t-il toutes les pages d'un site ?

Non. SHS n'est pas un robot chargé de parcourir l'ensemble des pages et contenus d'un site web.

L'analyse porte principalement sur les réponses HTTP obtenues lors du scan et sur les mécanismes de sécurité que ces réponses permettent d'observer.

Une configuration peut donc varier entre plusieurs pages ou applications d'un même domaine sans que toutes ces différences soient nécessairement représentées par une seule analyse.

SHS modifie-t-il le site analysé ?

Non. SHS n'apporte aucune modification au contenu, au code ou à la configuration du site analysé.

L'analyse consiste à effectuer des requêtes vers le service web puis à observer les réponses qu'il retourne, de manière comparable à un client web consultant des ressources accessibles publiquement.

SHS réalise-t-il des tests d'exploitation ?

Non. SHS n'a pas pour objectif d'exploiter les vulnérabilités d'un site.

L'observatoire ne cherche pas à contourner une authentification, à obtenir un accès non autorisé, à modifier des données ou à démontrer qu'une éventuelle faille peut effectivement être exploitée.

Les contrôles portent sur les mécanismes de sécurité HTTP observables à partir des réponses retournées par le site.

Une analyse peut-elle ralentir un site ?

Non. Une analyse entraîne simplment l'envoi de requêtes HTTP vers le site testé, comme si un utilisateur standard affichait juste la page d'accueil du site.

Comment comprendre le résultat de votre site ?

Le résultat d'une analyse SHS fournit une photographie de plusieurs mécanismes de sécurité HTTP visibles depuis l'extérieur au moment du scan.

Il présente notamment une note, un score ainsi que les différents tests considérés comme réussis, absents ou à améliorer.

Ces informations permettent d'identifier rapidement les protections déjà présentes et celles qui nécessitent davantage d'attention.

Si le résultat est mauvais

Une mauvaise note ou un score faible ne doit pas être ignoré. Il peut révéler l'absence ou la mauvaise configuration de protections importantes et, selon les mécanismes concernés, les conséquences potentielles peuvent être sérieuses.

Cela ne signifie toutefois pas automatiquement que le site est compromis, qu'une attaque est en cours ou qu'il est immédiatement exploitable. Le résultat indique avant tout que certains points méritent d'être étudiés et éventuellement corrigés.

Si le résultat est bon

Une bonne note signifie que plusieurs protections importantes sont présentes et correctement détectées par le scanner. C'est donc un signal positif concernant les pratiques de sécurité HTTP observées.

Il ne faut cependant pas considérer un excellent score comme une garantie de sécurité absolue. SHS n'analyse qu'une partie de la sécurité d'un site web.

Des vulnérabilités peuvent toujours exister ailleurs : dans le code de l'application, l'authentification, la gestion des droits, les logiciels utilisés, la configuration du serveur ou encore l'infrastructure.

Comprendre avant de corriger

Avant de modifier une configuration, il est important de comprendre le rôle du mécanisme concerné, les risques auxquels il répond et les conséquences possibles de sa mise en place.

SHS propose pour cela des fiches pédagogiques consacrées aux principales protections HTTP, afin d'expliquer simplement leur fonctionnement, leur intérêt et les principales pistes d'amélioration.

Signaler le résultat au responsable du site

Si vous n'êtes pas responsable du site et que vous constatez un résultat préoccupant, le plus utile est généralement d'en informer son propriétaire, son webmaster ou son équipe technique. Vous pouvez leur transmettre le résultat de l'analyse SHS afin qu'ils puissent vérifier la configuration et décider des éventuelles corrections à apporter.

Les résultats sont-ils publics ?

Une partie des résultats de SHS est accessible publiquement afin de permettre le fonctionnement de l'observatoire.

Les informations publiques permettent notamment de connaître le domaine analysé, la date de l'analyse, la note, le score et différents indicateurs généraux.

Certains détails plus techniques peuvent toutefois être réservés aux utilisateurs disposant des droits de consultation nécessaires.

Pourquoi certaines informations sont-elles masquées ?

SHS distingue les informations pouvant être consultées publiquement des informations techniques plus détaillées.

Cette séparation permet de conserver un observatoire public et pédagogique, tout en évitant d'exposer inutilement certains détails techniques qui ne sont pas indispensables à la compréhension générale du résultat.

Selon la fonctionnalité concernée, l'accès à davantage de détails peut nécessiter une authentification ou la validation du contrôle du domaine.

Un résultat peut-il contenir des erreurs ?

Oui. Comme toute analyse automatisée, un résultat SHS peut parfois être incomplet, imprécis ou ne pas refléter exactement la configuration habituelle du site.

Le résultat dépend de la réponse réellement obtenue au moment du scan. Un CDN, un reverse proxy, un pare-feu applicatif, une protection anti-bot, une redirection ou une configuration variant selon le client peut modifier les en-têtes retournés et donc influencer l'analyse.

Une erreur temporaire, un problème réseau ou une modification de configuration réalisée au même moment peut également produire un résultat différent de celui obtenu lors d'une autre analyse.

SHS s'appuie par ailleurs sur MDN HTTP Observatory pour réaliser les contrôles techniques. Les résultats affichés dépendent donc également des règles et de l'interprétation appliquées par ce moteur d'analyse.

En cas de résultat surprenant, il est donc recommandé de vérifier directement la configuration concernée et, si nécessaire, de relancer une analyse afin de confirmer le résultat obtenu.

Comment sont calculés la note et le score ?

La note et le score affichés par SHS sont calculés à partir des résultats produits par MDN HTTP Observatory, le moteur d'analyse utilisé par l'observatoire.

Ce moteur contrôle plusieurs mécanismes liés à la sécurité HTTP et applique ses propres critères d'évaluation à chacun des tests réalisés. Selon le résultat obtenu, certains contrôles peuvent avoir un impact plus important que d'autres sur le score final.

SHS ne définit donc pas arbitrairement la note attribuée à un site : il récupère le résultat calculé par MDN HTTP Observatory, puis le conserve et le présente dans l'observatoire.

L'ensemble des contrôles permet d'obtenir un score numérique ainsi qu'une note, afin de représenter plus simplement la qualité de la configuration observée au moment de l'analyse.

Il ne s'agit donc pas simplement de compter le nombre d'en-têtes présents : une protection peut être absente, incorrectement configurée ou considérée comme insuffisamment protectrice, avec un impact différent selon les critères définis par le moteur d'analyse MDN.

Qu'est-ce que l'algorithme MDN et pourquoi sa version est-elle indiquée ?

SHS utilise le moteur d'analyse MDN HTTP Observatory pour évaluer différents mécanismes de sécurité HTTP d'un site web.

Ce moteur repose sur un algorithme de notation qui définit les contrôles effectués, les critères d'évaluation et la manière dont les résultats contribuent au score et à la note finale.

Cet algorithme évolue au fil du temps. Une nouvelle version peut notamment modifier certains contrôles, leurs critères d'évaluation, leur pondération ou les règles de calcul du score.

Pour assurer la traçabilité des résultats, SHS conserve, pour chaque analyse, la version de l'algorithme MDN utilisée au moment du scan. Cette information est affichée sur les fiches de résultats, par exemple sous la forme Algorithme MDN · v6.

Cette version ne correspond pas nécessairement à la version du logiciel MDN HTTP Observatory, mais à celle de son algorithme d'évaluation.

Attention : lorsque deux analyses utilisent des versions différentes de l'algorithme, une variation de la note ou du score ne signifie pas nécessairement que la configuration du site a changé. Elle peut également résulter d'une évolution des critères d'évaluation. Il est donc important de tenir compte de cette version lors de la comparaison des résultats dans le temps.

Quelle est la différence entre la note et le score ?

Le score est une valeur numérique permettant de mesurer plus précisément le résultat obtenu lors de l'analyse.

La note constitue une représentation plus simple de ce résultat, généralement sous la forme d'une lettre.

Deux sites disposant de la même note peuvent donc avoir des scores différents. Le score permet alors de distinguer plus finement leurs résultats.

Que signifient les tests passés et les tests ratés ?

Chaque analyse comprend différents contrôles portant sur les mécanismes de sécurité observés.

Un test passé signifie que le critère correspondant a été considéré comme satisfait lors de l'analyse.

Un test raté signifie au contraire qu'une protection est absente, insuffisante ou ne répond pas au critère attendu.

Il faut toutefois consulter le détail du test avant d'en tirer une conclusion : tous les contrôles n'ont pas nécessairement la même importance ni le même impact sur le résultat final.

Pourquoi un site HTTPS peut-il obtenir une mauvaise note ?

HTTPS protège la connexion entre le navigateur et le serveur, mais il ne représente qu'une partie de la sécurité HTTP d'un site.

Un site peut parfaitement utiliser HTTPS tout en étant dépourvu de plusieurs protections importantes, comme une politique CSP adaptée, HSTS, des protections contre l'intégration dans une iframe ou une configuration correcte des cookies.

La présence de HTTPS est donc indispensable, mais elle ne suffit pas à elle seule pour obtenir un bon résultat sur l'ensemble des mécanismes analysés.

Pourquoi le score d'un site a-t-il changé ?

Le résultat d'une analyse correspond à la configuration observée à un instant donné.

Une modification du serveur, du reverse proxy, de l'application, d'un CDN ou de la configuration des en-têtes HTTP peut modifier le résultat d'une analyse ultérieure.

Une protection peut être ajoutée, supprimée, renforcée ou accidentellement désactivée.

C'est précisément pour cette raison que SHS conserve un historique : il devient possible d'identifier les améliorations et les dégradations intervenues au fil du temps.

Que faire du résultat de votre site ?

Le résultat peut servir de point de départ pour identifier les protections absentes ou les configurations qui peuvent être renforcées.

Selon votre situation

Si vous êtes propriétaire, gestionnaire ou responsable technique du site, le résultat peut être utilisé pour identifier les points à vérifier et planifier les éventuelles corrections avec les personnes chargées du développement, de l'hébergement ou de l'administration du service.

Si vous êtes prestataire, développeur ou administrateur, il est préférable d'étudier le détail des contrôles concernés avant d'appliquer une modification, afin de comprendre son impact et de vérifier son bon fonctionnement après sa mise en place.

Si vous êtes simplement utilisateur ou visiteur et que vous constatez un résultat préoccupant, le plus utile est généralement d'en informer le propriétaire du site, son webmaster, son service informatique ou toute autre personne en charge de sa gestion. Vous pouvez leur transmettre le lien vers le résultat SHS afin qu'ils puissent l'examiner et décider des actions à entreprendre.

Comment améliorer les résultats ?

Lorsqu'un test signale une protection absente ou perfectible, la première étape consiste à comprendre le rôle du mécanisme concerné avant de modifier la configuration du site.

SHS propose des fiches pédagogiques consacrées aux principales protections HTTP afin d'expliquer leur fonctionnement, leur intérêt et les précautions à prendre lors de leur mise en place.