FAQ - L'observatoire SHS

SHS est-il gratuit ?

Oui. L'utilisation de SHS et la consultation des informations publiques de l'observatoire sont gratuites.

L'objectif de la plateforme est de faciliter la compréhension et l'amélioration des mécanismes de sécurité HTTP, sans conditionner l'accès aux analyses publiques à un abonnement payant.

Faut-il créer un compte pour l'utiliser ?

Pas forcément. Une partie importante de SHS est accessible sans créer de compte.

Il est notamment possible de consulter les sites analysés, leurs principaux résultats, leur historique et différentes informations publiques proposées par l'observatoire.

Un compte est toutefois nécessaire pour accéder à certaines fonctionnalités (scanner/tableau de bord/mes sites/favoris) ou à des informations dont l'accès est limité.

Comment sont stockées les données des comptes ?

Les informations nécessaires au fonctionnement des comptes utilisateurs sont enregistrées dans la base de données de SHS.

Seules les données utiles à l'usage des fonctionnalités proposées sont associées au compte (mail et mot de passe).

Les mots de passe ne sont jamais enregistrés en clair. Ils sont protégés à l’aide d’un mécanisme de dérivation cryptographique avec salage et un grand nombre d’itérations, ce qui rend leur récupération directe extrêmement difficile, même en cas de vol/fuite de la base de données. SHS s’appuie sur des mécanismes de sécurité éprouvés pour le stockage des mots de passe : il s’agit d’une protection robuste et conçue précisément pour résister aux tentatives de cassage de mots de passe.

SHS remplace-t-il un audit de sécurité ?

Non. SHS analyse uniquement certains mécanismes de sécurité HTTP visibles depuis l'extérieur.

Un site peut disposer d'excellents en-têtes de sécurité tout en présentant d'autres vulnérabilités : erreur dans le code, défaut d'authentification, mauvaise gestion des droits, logiciel non mis à jour ou problème de configuration de l'infrastructure.

L'observatoire fournit des indicateurs sur certains mécanismes de sécurité visibles depuis l'extérieur, mais il ne permet pas d'évaluer à lui seul l'ensemble de la sécurité d'un site. Il ne remplace ni une revue de code, ni un test d'intrusion, ni un audit d'architecture, ni les bonnes pratiques de développement, d'administration système et de maintenance. SHS doit donc être considéré comme un outil de mesure et de suivi complémentaire, et non comme une validation globale du niveau de sécurité d'un service web.

Qui développe et maintient SHS ?

SHS est développé et maintenu par SCHNEIDER Vincent, dans le cadre du projet Cyber Alsace.

Cyber Alsace est une plateforme actuellement en préparation, destinée à accompagner les TPE et PME dans la compréhension, l'organisation et la sécurisation de leur environnement numérique.

Son objectif est de rendre les sujets liés à l'informatique plus accessibles et de proposer progressivement des informations, des ressources et des outils concrets pouvant aider les entreprises à mieux comprendre et à mieux maîtriser leur environnement numérique.

SHS est le premier outil mis à disposition dans le cadre de Cyber Alsace. Il constitue une première étape de cette démarche, en permettant de mieux comprendre et de suivre certains mécanismes de sécurité visibles sur les sites internet.

Comment valider la propriété d'un domaine ?

La validation d'un domaine permet de démontrer que l'utilisateur dispose réellement d'un contrôle sur le domaine concerné.

SHS fournit pour cela une valeur de validation à ajouter dans la configuration DNS du domaine. Une fois l'enregistrement publié, SHS peut vérifier sa présence et confirmer le contrôle du domaine.

Cette méthode évite qu'un utilisateur puisse simplement déclarer qu'un domaine lui appartient sans être capable de le prouver.

Combien de temps faut-il pour détecter une modification DNS ?

Une modification DNS n'est pas toujours visible immédiatement. Après l'ajout de l'enregistrement demandé, celui-ci peut être détecté rapidement, mais sa propagation dépend notamment du fournisseur DNS, des caches intermédiaires et de la durée de vie des enregistrements.

Si SHS ne détecte pas immédiatement la nouvelle valeur, il suffit généralement d'attendre puis de renouveler la vérification quelques minutes plus tard.

Quelle est la différence entre un favori et un site validé ?

Un favori permet simplement d'associer un site à votre compte afin de le retrouver plus facilement.

Ajouter un site aux favoris ne prouve pas que vous êtes son propriétaire ou son administrateur, et vous n'aurez donc pas accès aux informatins avancées de celui-ci.

Un site validé, au contraire, est un domaine pour lequel SHS a pu vérifier que votre compte dispose bien du contrôle nécessaire, notamment grâce à la validation DNS.

La validation peut ainsi donner accès à des fonctionnalités ou informations avancées aux personnes ayant démontré le contrôle du domaine, alors qu'un favori reste uniquement un outil personnel de suivi.