Discuvr Analyse de sécurité
Esc

Bureau et données

CSV vers Excel Collez un CSV et voyez-le aussitôt sous forme de tableur, avec des nombres, des dates et des identifiants typés comme Excel doit les stocker. Téléchargez un .xlsx propre seulement si vous le voulez. Signer un PDF Signez un PDF dans votre navigateur : dessinez, tapez ou importez votre signature, placez-la sur n'importe quelle page, ajoutez la date et téléchargez la copie signée. Le fichier ne quitte jamais votre appareil. Caviarder Caviardez définitivement des fichiers PDF, Word, Excel, PowerPoint, texte et images. Les occurrences et les cadres sont supprimés du fichier lui-même, pas masqués, et le résultat est revérifié avant le téléchargement. Quelle est mon IP Voyez l'adresse IP publique que les sites voient quand vous vous connectez, si elle est partagée (CGNAT) ou privée, et ce que votre navigateur révèle d'autre. Convertisseur de casse et outils de lignes Passez un texte en MAJUSCULES, minuscules, Casse Titre ou Casse phrase, transformez des noms en camelCase ou snake_case, et supprimez les lignes en double ou triez une liste. Comparateur de textes Collez deux versions d'un texte pour voir chaque ligne ajoutée, supprimée et modifiée, avec les mots changés surlignés.

Rédaction et propositions

Peaufinage du ton Reformatez ce que vous avez écrit avec une grammaire, une structure et une articulation correctes - avec votre propre voix. Un collage, une réponse, aucune session de chat. Générateur de propositions freelance Décrivez le problème d'un client et obtenez en quelques secondes une proposition freelance cadrée, chiffrée et prête à envoyer.

Juridique et conformité

Chatbot Q&A en droit de la PI Posez vos questions sur le droit indien de la PI - marques, brevets, droit d'auteur, dessins et plus, avec les résultats de recherche web utilisés au-dessus de chaque réponse. Générateur de réponse aux FER de brevet Collez les objections d'un premier rapport d'examen (FER) pour rédiger une réponse structurée, ou téléversez un projet pour une revue des risques de PI. Outil d'éligibilité aux programmes gouvernementaux Répondez une seule fois à une courte série de questions. Connectez-vous et nous enregistrons vos réponses, afin que vous puissiez vérifier à quels programmes du gouvernement central vous pourriez être éligible sans les retaper.

Confidentialité & Sécurité

Analyse de sécurité de site web Analysez un domaine à la recherche de faiblesses de sécurité réelles et reproductibles. Chaque résultat contient l'observation sous-jacente et la commande pour la vérifier vous-même. Nettoyage d'images Voyez exactement ce que votre photo révèle sur vous - GPS, numéro de série de l'appareil photo, votre nom - puis supprimez tout. Rogniez, redimensionnez, floutez les visages et convertissez, le tout sans que l'image ne soit stockée nulle part.

Outils pour développeurs

JSON Formatter Embellissez, minifiez et validez du JSON en un seul collage - avec la ligne et la colonne exactes lorsqu'il ne peut pas être analysé, et un décompte de ce que contient réellement le document. Formateur Python Reformatez du Python comme le ferait Black, avec la longueur de ligne et la gestion des guillemets de votre choix - et un décompte exact du nombre de lignes modifiées. Visualiseur HTML Collez du HTML et observez le rendu en direct dans une sandbox, à la largeur d'un mobile, d'une tablette ou d'un ordinateur, avec embellissement, minification, console pour les scripts et rapport d'erreurs du balisage. Calculateur de sous-réseau IP Saisissez une notation CIDR ou une IP avec un masque de sous-réseau et obtenez instantanément l'adresse réseau, l'adresse de diffusion, la plage d'hôtes utilisables et le nombre total d'adresses. Encoder / Décoder Encodez ou décodez Base64, Base64URL, l'encodage URL en pourcentage, les entités HTML et l'hexadécimal pendant la saisie, avec prise en charge complète de l'UTF-8. Convertisseur d'horodatage Unix Convertissez un horodatage Unix en secondes, millisecondes, microsecondes ou nanosecondes en date en UTC ou dans un grand fuseau horaire mondial, et une date en horodatage. Créateur de diagrammes de systèmes Tapez des flèches comme User -> API -> Database et obtenez un diagramme d'architecture ou de flux déjà mis en page. Repliez les groupes pour la vue d'ensemble, numérotez les étapes pour le détail.

Atelier IA

AI Playground Comparez les réponses de plusieurs fournisseurs de LLM côte à côte en temps réel. Utilisez vos propres clés API. Playground d'agents Expérimentez avec des agents IA utilisant des outils - recherche web, calculatrice, récupération d'URL - chez plusieurs fournisseurs.

Apprentissage

Study Buddy Un coach de préparation aux entretiens pour les meilleurs postes tech, du premier jour de révision à l'offre acceptée : un programme couvrant le DSA, le LLD, la conception de systèmes, les entretiens comportementaux et le codage assisté par IA, des entretiens blancs, une relecture de CV, un suivi des candidatures et un comparateur d'offres.

Outils du quotidien

Générateur de codes QR Créez des codes QR à partir de texte, d'URL, d'identifiants WiFi ou de coordonnées - en images PNG ou en vecteurs SVG, avec le niveau de correction d'erreurs de votre choix. Convertisseur d'unités Convertissez instantanément entre les unités de longueur, poids, température, volume, vitesse, superficie et énergie - plus de 40 types d'unités avec des résultats instantanés. Générateur de mots de passe Générez un mot de passe aléatoire grâce à un générateur aléatoire cryptographiquement sûr, ajustez sa longueur et ses types de caractères, et consultez sa robustesse en bits d'entropie. Compteur de mots et analyseur de lisibilité Compte les mots, les caractères, les phrases et les paragraphes, estime le temps de lecture et évalue la lisibilité - avec un comptage par caractère réel pour le texte en chinois, japonais, coréen et thaï. Calculateur d'âge et de différence de dates Trouvez l'âge exact d'une personne, ou la différence exacte entre deux dates quelconques, en années, mois et jours, ainsi que le nombre total de jours et de semaines. Calculateur d'écart entre dates Comptez les jours, semaines, mois et jours ouvrés entre deux dates, ou ajoutez et soustrayez des jours à une date. Calculateur de pourcentage Calculez X% de Y, quel pourcentage représente un nombre par rapport à un autre, la variation en pourcentage entre deux nombres, ou le pourcentage inverse - quatre calculs courants dans un seul outil. Calculateur SIP Voyez ce que devient un investissement mensuel avec hausse annuelle, apport initial et inflation, ou trouvez le montant mensuel qu'exige un objectif. Calculateur d'IMC Calculez votre Indice de Masse Corporelle (IMC) à partir de votre taille et de votre poids, en unités métriques ou impériales, classé selon les catégories de l'OMS pour adultes : insuffisance pondérale, normal, surpoids, obésité.
Se connecter Commencer
Tous les outilsConfidentialité & Sécurité

Analyse de sécurité de site web

Un scan externe passif. Chaque constatation contient l'observation brute effectuée par le scanner et une commande que vous pouvez exécuter vous-même pour la reproduire - rien n'est écrit par un modèle.

14 groupes de vérification : Résolution DNS et vérification des enregistrements CAA · Vérification de SPF et DMARC · Inspection du certificat TLS et des versions de protocole · Test de la redirection HTTP vers HTTPS · Lecture des en-têtes de sécurité de la réponse · Vérification des attributs des cookies · Analyse de la politique CORS · Recherche de bannières de version · Vérification des méthodes HTTP autorisées · Analyse de la page d'accueil à la recherche de contenu mixte et de formulaires non sécurisés · Recherche de fichiers de configuration et de contrôle de version exposés · Vérification de la présence de listages de répertoires · Lecture de robots.txt et security.txt · Vérification des ports de service exposés

À propos Analyse de sécurité de site web

Beaucoup de scanners vous donnent une note en lettre et une liste de mots inquiétants. Celui-ci donne aussi une note, mais chaque point retiré est lié à un constat qui montre la réponse réellement obtenue et la commande d'une ligne qui vous renvoie la même réponse : un constat se vérifie, il n'a pas à être cru sur parole.

Ce qu'il fait

  • Vérifie DNS et CAA, SPF et DMARC, le certificat TLS et TLS 1.0/1.1, la redirection vers HTTPS, les en-têtes de sécurité, les attributs des cookies, CORS, les bannières de version, les méthodes HTTP, le contenu mixte, 23 chemins sensibles, les listages de répertoires, robots.txt, security.txt et 12 ports de service.
  • Chaque résultat comporte l'observation brute et une commande shell pour le reproduire.
  • Les vérifications qui n'ont pas pu s'exécuter sont signalées comme "non vérifié", jamais silencieusement comme réussies.
  • Les rapports se téléchargent en Markdown ou en JSON.

Comment ça marche

  1. 1 Saisissez un domaine dont vous êtes responsable.
  2. 2 L'analyse effectue des sondages passifs : des requêtes ordinaires, sans exploitation.
  3. 3 Lisez les résultats, chacun avec sa preuve, et vérifiez ceux qui comptent.

Aucun résultat n'est inventé

Le scanner ne contient aucun modèle de langage. La gravité, l'impact et la correction sont fixés pour chaque contrôle, et chaque constat est produit à partir d'une observation réelle. Le rapport affiché et les téléchargements Markdown et JSON sont construits à partir des mêmes constats, sans aucun modèle.

Comment la note est calculée

Le score part de 100 et perd 34 points par constat critique, 13 par élevé, 5 par moyen et 1,5 par faible, avec un plafond par gravité (élevé 45, moyen 22, faible 9). Les résultats informatifs et réussis ne coûtent rien. 90 et plus donne un A, 75 un B, 60 un C, 40 un D, en dessous un F. Un seul fichier .env exposé ou un port de base de données joignable fait passer un site sans défaut de 100 à 66, un C ; deux constats de ce type donnent 32, un F.

Éviter les fausses alertes

Avant de sonder des chemins comme /.git/HEAD ou /backup.sql, le scanner demande une adresse aléatoire qui ne peut pas exister et note la réponse du site. Un chemin n'est signalé comme exposé que s'il renvoie HTTP 200, diffère de cette réponse de référence et correspond à la signature propre du fichier : un site qui répond à toute URL par sa page d'accueil ne se couvre donc pas de constats critiques.

Un rapport propre n'est pas un certificat

Ce sont des vérifications passives sur un site en fonctionnement. Elles ne couvrent pas la logique applicative, l'authentification, le contrôle d'accès, ni rien derrière une connexion - les endroits où les vraies violations commencent généralement. Les vérifications qui n'ont pas pu se terminer sont listées comme non vérifiées pour cette raison précise : une réussite issue d'une connexion échouée est une fausse réassurance, et une analyse sans résultat signifie que rien n'a été trouvé, pas que rien n'existe.

N'analysez que ce qui vous appartient

Analysez des domaines que vous possédez ou pour lesquels vous avez une autorisation écrite de test. L'outil refuse les hôtes qui résolvent vers des adresses privées ou internes, et il est limité en débit par IP, mais l'autorisation reste votre responsabilité.

Questions

Est-ce une attaque active ?

Non. Il envoie des requêtes GET, HEAD et OPTIONS ordinaires, effectue des négociations TLS (y compris des tentatives en TLS 1.0 et 1.1), des requêtes DNS via le DNS sur HTTPS de Cloudflare et de simples connexions TCP vers 12 ports. Rien n'est exploité, aucun formulaire n'est envoyé et rien n'est modifié.

Puis-je analyser n'importe quel site web ?

Seulement ceux que vous possédez ou que vous êtes autorisé à tester. Analyser une infrastructure tierce sans permission peut être illégal là où vous vous trouvez.

Pourquoi une vérification indique-t-elle "non vérifié" ?

Parce qu'elle n'a pas pu être terminée - généralement parce que rien n'a répondu sur cette origine. C'est signalé honnêtement plutôt qu'enregistré comme une réussite.

Puis-je exporter le rapport ?

Oui, en Markdown ou en JSON, pendant une heure : le rapport reste en cache sur le serveur ce temps-là pour que les téléchargements fonctionnent, puis expire. Aucun export ne fait appel à un modèle. Le relevé d'utilisation garde le nombre de constats et la note, pas le domaine.

Quels fichiers et ports sont testés ?

Fichiers : 23 chemins fixes, dont /.git/HEAD, /.git/config, /.env, /.env.local, /.env.production, /.aws/credentials, /id_rsa, /backup.zip, /backup.sql, /dump.sql, /wp-config.php.bak, /phpinfo.php, /server-status, /actuator/env, chacun signalé seulement si la réponse correspond à la signature propre de ce fichier ; /.well-known/security.txt compte en votre faveur s'il est publié. Ports : une simple connexion TCP, jamais une tentative d'authentification, vers 21 FTP, 23 Telnet, 25 SMTP, 3306 MySQL, 5432 PostgreSQL, 6379 Redis, 27017 MongoDB, 9200 Elasticsearch, 3389 RDP, 5900 VNC, 11211 Memcached, 8080. Un port de base de données joignable (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch) ou Telnet est classé critique.

Que signalent les contrôles SPF et DMARC ?

Les deux enregistrements sont lus dans le DNS public, même pour un site qui n'envoie pas d'e-mails, car sans eux n'importe qui peut envoyer un e-mail prétendant venir de votre domaine. Pas d'enregistrement SPF : gravité moyenne ; un SPF contenant +all, qui autorise tous les serveurs d'internet : élevée. Pas d'enregistrement DMARC sous _dmarc : moyenne ; p=none (ou aucune balise p=) ne fait que surveiller : faible ; p=quarantine ou p=reject est validé. Un domaine qui n'envoie aucun e-mail peut publier v=spf1 -all.

Quels en-têtes de sécurité sont vérifiés, et quelle valeur est validée ?

Six en-têtes dans la réponse de votre page d'accueil. S'ils manquent, HSTS et Content-Security-Policy sont de gravité élevée, X-Content-Type-Options et X-Frame-Options moyenne, Referrer-Policy et Permissions-Policy faible. Strict-Transport-Security demande un max-age d'au moins 15552000 (180 jours) : plus court, c'est faible ; max-age=0, c'est moyen. Content-Security-Policy est signalée comme affaiblie (moyenne) si script-src autorise 'unsafe-inline', si la politique autorise 'unsafe-eval' ou si default-src ou script-src contient un joker * seul. X-Content-Type-Options doit valoir exactement nosniff. X-Frame-Options doit valoir DENY ou SAMEORIGIN, et n'est pas nécessaire si la CSP définit frame-ancestors. Referrer-Policy n'est signalée que pour unsafe-url ou no-referrer-when-downgrade. Permissions-Policy doit seulement être présente. Chaque en-tête absent ou faible est accompagné d'une commande curl -sI pour vérifier vous-même.

Comment vérifie-t-il les attributs des cookies (Secure, HttpOnly, SameSite) ?

Il lit chaque en-tête Set-Cookie de la réponse de votre page d'accueil (jusqu'à 12 cookies) et vérifie pour chacun Secure, HttpOnly et SameSite. L'absence de Secure ou de HttpOnly est de gravité moyenne ; l'absence de SameSite seule est faible, et SameSite=None sans Secure est signalé parce que les navigateurs refusent ce cookie. Un cookie qui a les trois attributs est validé. La correction habituelle est Secure; HttpOnly; SameSite=Lax (sous Django : SESSION_COOKIE_SECURE, SESSION_COOKIE_HTTPONLY et SESSION_COOKIE_SAMESITE). L'analyse n'est pas connectée : les cookies créés seulement après la connexion ne sont pas vus. Vérifiez vous-même avec curl -sI https://your-site/ | grep -i set-cookie

Comment fonctionne le contrôle CORS, et quand est-il critique ?

Il envoie une requête GET à votre page d'accueil avec Origin: https://scanner-probe.example et lit Access-Control-Allow-Origin et Access-Control-Allow-Credentials dans la réponse. Pas d'en-tête Access-Control-Allow-Origin, ou une origine fixe qui ne renvoie pas celle du test : c'est validé. Renvoyer l'origine du test avec Access-Control-Allow-Credentials: true est critique, car n'importe quel site visité par un utilisateur connecté pourrait lire ses réponses. Renvoyer l'origine sans identifiants est moyen. Un joker * est faible, ou moyen si les identifiants sont aussi autorisés (les navigateurs refusent cette combinaison). Seule la page d'accueil est testée et aucune requête préliminaire OPTIONS n'est envoyée : testez vos routes d'API à part avec curl -sI -H "Origin: https://scanner-probe.example" https://your-site/api/ | grep -i access-control

Que vérifie le contrôle TLS (expiration du certificat, TLS 1.0 et 1.1) ?

Il se connecte au port 443 et valide la chaîne de certificats et le nom d'hôte. Un certificat qui ne se valide pas est de gravité élevée, un certificat expiré est en plus signalé critique, et un certificat à moins de 15 jours de l'échéance est moyen ; sinon le sujet, l'émetteur, la date d'expiration et les noms SAN sont affichés comme validés. Le protocole négocié doit être TLS 1.2 ou TLS 1.3, toute version plus ancienne est élevée. Il tente ensuite séparément une négociation TLS 1.0 et une négociation TLS 1.1 : un serveur qui accepte l'une ou l'autre reçoit un constat moyen, car les deux sont dépréciées par la RFC 8996. Si l'OpenSSL du scanner ne peut pas proposer l'ancienne version, rien n'est signalé plutôt que de deviner. Le correctif nginx est ssl_protocols TLSv1.2 TLSv1.3; Vérifiez les dates vous-même avec echo | openssl s_client -connect your-site:443 -servername your-site 2>/dev/null | openssl x509 -noout -dates

Vérifie-t-il que HTTP redirige vers HTTPS ?

Oui. Il demande http://your-site/ sans suivre les redirections. Un 301 ou un 308 vers une adresse https:// est validé. Un 302, 303 ou 307 vers HTTPS est faible, car les navigateurs ne mémorisent pas une redirection temporaire et chaque nouvelle visite commence par une requête non chiffrée. Une page servie en HTTP non chiffré (réponse 2xx) est élevée. Si le port 80 ne répond pas du tout, c'est informatif, pas un échec. Le correctif nginx est server { listen 80; return 301 https://$host$request_uri; }, puis ajoutez Strict-Transport-Security. Vérifiez vous-même avec curl -I http://your-site/

Quelles méthodes HTTP signale-t-il (TRACE, PUT, DELETE) ?

Il envoie une seule requête OPTIONS à votre page d'accueil et lit l'en-tête Allow, ou Access-Control-Allow-Methods si Allow est absent. TRACE, TRACK, PUT ou DELETE annoncé est moyen ; PATCH ou CONNECT seuls sont faibles ; uniquement des méthodes de lecture standard est validé. Si le serveur n'envoie aucun des deux en-têtes, rien n'est signalé. Annoncer une méthode ne prouve pas qu'elle fonctionne : vérifiez avant de modifier quoi que ce soit. TRACE peut renvoyer à l'appelant les en-têtes de la requête, cookies compris (Cross-Site Tracing). nginx refuse TRACE par défaut ; sous Apache, réglez TraceEnable Off. Réservez PUT et DELETE aux routes d'API qui en ont besoin, derrière une authentification. Vérifiez vous-même avec curl -X OPTIONS -i https://your-site/

Comment détecte-t-il le listage de répertoires ("Index of /") ?

Il demande 7 chemins : /, /static/, /assets/, /uploads/, /images/, /files/ et /backup/. Un chemin qui répond HTTP 200 avec une page dont la balise title ou le titre principal commence par "Index of /" est signalé comme moyen (CWE-548), car le listage montre des fichiers liés nulle part, comme des sauvegardes, des exports et d'anciennes versions. Si aucun ne le fait, la vérification est validée ; si le site est injoignable, elle est indiquée comme non effectuée. Le correctif nginx est autoindex off; (la valeur par défaut, cherchez donc un autoindex on explicite), sous Apache Options -Indexes, puis sortez tout fichier sensible de la racine web. Vérifiez vous-même avec curl -s https://your-site/uploads/ | head -20

Détecte-t-il le contenu mixte et les formulaires envoyés en HTTP ?

Oui, sur la page d'accueil. Il lit le HTML tel qu'il est servi (aucun JavaScript n'est exécuté) et liste chaque balise script, link, iframe ou img dont le src ou le href commence par http://. Si l'une d'elles est un fichier .js ou .css, le constat est moyen, car un script ou une feuille de style remplacés en transit s'exécutent dans votre page HTTPS ; des images et des cadres seuls donnent faible ; aucune, c'est validé (CWE-311). Un formulaire dont l'action commence par http:// est classé élevé (CWE-319), car tout ce qu'on y saisit, mots de passe compris, part en clair. La correction : passer ces URL en https:// ou en relatif, et ajouter l'en-tête Content-Security-Policy: upgrade-insecure-requests comme filet de sécurité. Vérifiez vous-même avec curl -s https://your-site/ | grep -Eo "(src|href|action)=.http://[^ >]*"

Que vérifie-t-il dans robots.txt et security.txt ?

robots.txt : il récupère /robots.txt et, s'il répond HTTP 200 sous forme de fichier texte, lit les lignes Disallow de ses 8000 premiers caractères. Un chemin Disallow contenant admin, internal, private, backup, config, staging, test, api, secret, dev est classé faible (CWE-200) : robots.txt est public et demande seulement aux robots respectueux de ne pas venir, donc lister ces chemins les signale. Protégez-les par une authentification et utilisez noindex pour garder des pages hors des moteurs. security.txt : il demande /.well-known/security.txt, l'emplacement fixé par la RFC 9116, et le compte en votre faveur quand le fichier a une ligne Contact:. Un fichier absent ne fait pas perdre de points. La RFC 9116 exige aussi un champ Expires:, que le scan ne vérifie pas, donc publiez les deux, par exemple Contact: mailto:security@your-site, Expires: 2027-06-30T23:00:00Z. Vérifiez vous-même avec curl -s https://your-site/.well-known/security.txt

Que recherche le contrôle CAA et comment ajouter un enregistrement CAA ?

Il interroge les enregistrements CAA (RFC 8659) du nom d'hôte saisi, via le DNS sur HTTPS de Cloudflare. S'il en trouve, le contrôle est validé et la preuve en affiche jusqu'à 5 ; s'il n'en trouve aucun, il signale "No CAA record" en gravité faible, car n'importe quelle autorité de certification publique peut alors émettre un certificat pour ce nom. Un enregistrement CAA liste les AC que vous utilisez réellement, par exemple your-site. IN CAA 0 issue "letsencrypt.org", plus 0 iodef "mailto:security@your-site" pour recevoir les signalements. Ajoutez une ligne issue par AC utilisée, et une ligne issuewild si les certificats génériques (wildcard) doivent venir d'une autre AC. Vérifiez vous-même avec dig CAA your-site

Pourquoi l'analyse de www ou d'un sous-domaine indique-t-elle l'absence de CAA, SPF ou DMARC ?

Chaque contrôle DNS porte sur le nom exact saisi : www.example.com est interrogé comme www.example.com, pas comme example.com, et les trois enregistrements ne s'héritent pas de la même façon. CAA : une autorité de certification qui ne trouve aucun enregistrement CAA sur www.example.com remonte à example.com et utilise celui-ci (RFC 8659, section 3), donc "No CAA record" sur un sous-domaine peut être une fausse alerte. DMARC : les destinataires se rabattent sur la politique du domaine organisationnel, qui peut fixer une politique distincte pour les sous-domaines avec sp= (RFC 9989, qui rend obsolète la RFC 7489), donc l'absence d'enregistrement sur _dmarc.www.example.com est en général couverte par _dmarc.example.com. SPF : aucun héritage (RFC 7208), donc "No SPF record" est exact pour ce nom ; un nom d'hôte qui n'envoie aucun e-mail peut publier v=spf1 -all. Une requête DNS qui échoue apparaît aussi comme un enregistrement absent. Analysez aussi le domaine nu, ou confirmez avec dig CAA example.com et dig TXT _dmarc.example.com