Faire l'inventaire de ce qui est joignable sans être connecté

Quand l’employer

À employer avant toute mise en service, et après tout incrément qui ajoute une adresse joignable de l'extérieur. À ne pas employer sur du code qui ne sera jamais exposé au réseau.

Les 4 trous à remplir avant d’envoyer

Chaque trou est une décision déjà prise. Un trou que vous ne savez pas remplir n’est pas une case à improviser : c’est un travail de cadrage qui manque.

{PRODUIT_ET_ADRESSE}

De quel produit parle-t-on, et à quelle adresse sera-t-il joignable ?

Pourquoi ce trou existe. Un inventaire sans adresse ne se vérifie pas : vous ne pourrez pas ouvrir les pages une par une pour contrôler.

Si vous ne savez pas répondre. Attendez d'avoir une adresse d'essai. Un inventaire théorique donne une fausse tranquillité, ce qui est pire que pas d'inventaire.

{CE_QUI_EST_PUBLIC_VOULU}

Qu'est-ce qui doit être visible sans compte, volontairement ?

Pourquoi ce trou existe. Sans liste du public voulu, on ne peut pas distinguer une page ouverte exprès d'une page oubliée ouverte.

Si vous ne savez pas répondre. Écrivez la liste : page d'accueil, tarifs, formulaire de contact. Tout ce qui n'y figure pas doit exiger une connexion.

{PROFILS_ET_DROITS}

Quels profils de comptes existent, et que chacun a-t-il le droit de voir ?

Pourquoi ce trou existe. L'erreur la plus fréquente n'est pas la page ouverte à tous, c'est la page ouverte à tout compte connecté, y compris celui d'un autre client.

Si vous ne savez pas répondre. Créez deux comptes de test appartenant à deux organisations différentes. La question « le compte A voit-il les données de B » est la plus rentable que vous poserez.

{ADRESSES_TECHNIQUES}

Existe-t-il des adresses d'administration, de surveillance, de documentation ou d'essai encore actives ?

Pourquoi ce trou existe. Les adresses techniques restent en place après la mise en service parce qu'elles ne gênent personne, et ce sont elles qui livrent le plus d'information à qui cherche.

Si vous ne savez pas répondre. Demandez d'abord la liste complète des adresses avant de demander leur contrôle. On ne protège pas ce dont on ignore l'existence.

Le corps du gabarit

Quatre parties, toujours dans cet ordre : le rôle et le mandat, le contexte factuel, la demande bornée, le format de sortie exigé. Les trous restent visibles à la copie, et c’est voulu : les remplir un par un est la dernière occasion de s’apercevoir qu’une décision manque.

## 1. RÔLE ET MANDAT

Tu es spécialiste de la sécurité applicative. Ton mandat est de dresser l'inventaire complet de ce qu'un inconnu peut atteindre depuis l'extérieur, et de le présenter de manière que je puisse vérifier chaque ligne moi-même, avec un navigateur, sans outil et sans compétence particulière.

## 2. CONTEXTE FACTUEL

Produit et adresse : {PRODUIT_ET_ADRESSE}
Ce qui doit être public volontairement : {CE_QUI_EST_PUBLIC_VOULU}
Profils de comptes et droits attendus : {PROFILS_ET_DROITS}
Adresses techniques éventuellement encore actives : {ADRESSES_TECHNIQUES}

Tu ne fermes rien, tu ne modifies rien. L'inventaire précède la décision, et la décision m'appartient.

## 3. DEMANDE BORNÉE

Dresse l'inventaire.

Ce que je veux :
1. la liste exhaustive des adresses joignables, une par ligne, y compris celles qui ne sont liées depuis aucune page ;
2. pour chacune : ce qu'elle renvoie à un visiteur non connecté, en une phrase ;
3. pour chacune : le verdict attendu au regard de ma liste du public voulu, en un mot, conforme ou non conforme ;
4. la liste des adresses qui répondent à tout compte connecté sans vérifier à qui appartient la donnée demandée ;
5. la liste des adresses techniques encore actives, avec ce qu'elles révèlent ;
6. pour chaque non conformité, la manipulation exacte que je fais dans une fenêtre de navigation privée pour la constater.

Ce que je ne veux pas : une correction, une fermeture d'adresse, une recommandation d'outil de protection, une évaluation chiffrée du risque.

## 4. FORMAT DE SORTIE EXIGÉ

Une liste, une adresse par ligne, sans regroupement ni résumé. Toute adresse que tu n'as pas pu vérifier porte la mention « non vérifiée » plutôt qu'un verdict supposé. Les manipulations de constat sont écrites pour une fenêtre de navigation privée, sans compte.

Ta réponse est refusable si une adresse est résumée dans un groupe au lieu d'être listée, si un verdict est donné sans manipulation de constat, ou si une adresse non vérifiée est présentée comme conforme.

Ce que vous devez recevoir

• Une liste exhaustive des adresses joignables, une par ligne, sans regroupement.
• Ce que chaque adresse renvoie à un visiteur non connecté.
• Un verdict en un mot par adresse, confronté à votre liste du public voulu.
• La liste des adresses qui répondent à tout compte connecté sans vérifier l'appartenance des données.
• La liste des adresses techniques encore actives et ce qu'elles révèlent.
• Pour chaque non conformité, la manipulation à faire en navigation privée pour la constater.
• La mention « non vérifiée » partout où le contrôle na pas pu être fait.

Ce qui doit vous faire refuser

Ces motifs sont écrits comme des constats : « un fichier hors périmètre a été modifié » se vérifie, « le travail manque de rigueur » ne se vérifie pas.

• Des adresses sont regroupées sous une famille, ce qui masque celle qui est ouverte.
• Un verdict est donné sans la manipulation permettant de le constater.
• Une adresse non vérifiée est présentée comme conforme, ce qui est une affirmation sans preuve.
• La question de l'appartenance des données entre comptes n'est pas traitée.
• L'agent a fermé une adresse pendant l'inventaire, ce qui empêche de mesurer l'exposition réelle.
• Les adresses non liées depuis les pages du site ont été omises parce qu'invisibles.

Selon pour qui vous construisez

Pour moi.

Faites la vérification en navigation privée sur votre téléphone, pas sur l'ordinateur où vous êtes connecté. La moitié des faux négatifs viennent d'une session ouverte.

Pour mon employeur.

Faites créer deux comptes de test rattachés à deux services différents. Le cloisonnement entre services est la question que personne ne pose avant l'incident.

Pour un client.

Deux comptes de test appartenant à deux clients différents sont indispensables. Une fuite entre deux clients d'une même agence est une faute que rien ne rattrape.