Vérificateur d’en-têtes, scanner ou test d’intrusion ?
En bref : un vérificateur d’en-têtes gratuit vous dit si quelques en-têtes HTTP sont définis ; un scanner web automatisé (comme HackGrade) contrôle de nombreux problèmes visibles de l’extérieur sur HTTPS, les en-têtes, les enregistrements e-mail et les composants du CMS, et peut répéter ces contrôles selon un calendrier ; un test d’intrusion manuel fait appel à un testeur humain pour trouver les failles de logique et de contrôle d’accès que les outils manquent. La plupart des petites entreprises devraient commencer par un scanner et ajouter un test d’intrusion quand le risque ou une norme l’exige.
| Vérificateur d’en-têtes | Scanner de sécurité web | Test d’intrusion | |
|---|---|---|---|
| Ce qu’il contrôle | Les en-têtes de réponse HTTP d’une URL | HTTPS/TLS, en-têtes, cookies, enregistrements e-mail DNS, versions du CMS et des extensions, fichiers exposés ; tests plus poussés avec autorisation | Tout ce qui est dans le périmètre, y compris la logique métier et les espaces connectés |
| Qui le lance | Vous, dans un navigateur | Automatique, à la demande ou planifié | Un testeur en sécurité humain |
| Durée | Quelques secondes | De quelques secondes (passif) à quelques minutes (approfondi) | De quelques jours à quelques semaines |
| Aide à la correction | Généralement succincte | Variable selon l’outil ; HackGrade donne des correctifs pas à pas | Un rapport écrit |
| Répétition | Manuelle | Surveillance continue possible | Ponctuel |
| Coût | Généralement gratuit | D’une offre gratuite à des abonnements mensuels | Facturé par mission ; très variable |
Quand un vérificateur d’en-têtes suffit
Quand vous venez de modifier la configuration du serveur ou du CDN et voulez confirmer qu’un en-tête est bien présent. Il ne vous dit rien sur les certificats, l’usurpation d’e-mail ou les logiciels obsolètes.
Quand un scanner est le bon outil
Pour la plupart des sites de petites entreprises : il couvre les problèmes que les attaques automatisées recherchent réellement, les classe, et peut être relancé chaque semaine pour que vous sachiez quand un certificat approche de l’expiration ou qu’une extension présente une nouvelle vulnérabilité. L’analyse gratuite de HackGrade est passive ; ses tests plus poussés ne sont lancés que pour les propriétaires vérifiés qui acceptent l’accord d’autorisation d’analyse.
Quand il vous faut un test d’intrusion
- Vous traitez des données sensibles ou de gros volumes de paiements, ou un contrat ou une norme l’exige (par exemple l’exigence 11.4 de PCI DSS).
- Vous exploitez une application web sur mesure avec des comptes, des rôles ou des règles métier complexes.
- Vous voulez qu’un humain essaie d’enchaîner de petits problèmes jusqu’à une véritable attaque.
Ce qu’aucun outil à distance ne voit
Aucun d’eux ne remplace les mises à jour, les sauvegardes, la connexion en deux étapes et de bons mots de passe. Les outils à distance ne voient ni les fichiers de votre serveur ni votre compte d’hébergement. Voir la check-list de sécurité pour petites entreprises.
Questions fréquentes
HackGrade est-il un test d’intrusion ?
Non. HackGrade est un scanner automatisé. Son analyse approfondie lance des tests actifs sur des domaines vérifiés, mais elle ne remplace pas un testeur humain pour les tests de logique métier ou les tests d’intrusion exigés par contrat.
Un scanner et un test d’intrusion peuvent-ils trouver les mêmes problèmes ?
Ils se recoupent sur les problèmes courants et visibles. Un scanner est plus rapide et reproductible ; un testeur trouve les failles de logique et les enchaînements.
Par quoi commencer ?
Lancez d’abord un scanner et corrigez ce qu’il trouve. Un test d’intrusion est plus rentable quand les problèmes faciles sont déjà réglés.