Cybersécurité externe : 40 points contrôlés

Ce qu'un attaquant voit de votre site sans rien forcer : messagerie, certificats, en-têtes, DNS, versions annoncées.

Les autres volets :

• Référencement et moteurs de réponse
• RGPD visible depuis le site

Sous-domaines publiés

• Les sous-domaines publiés servent un certificat valideMoyenne · ANSSI
• Les serveurs n'annoncent pas leur version logicielleMineure · IETF

Messagerie

• Un enregistrement SPF est publiéMajeure · ANSSI / IETF
• Un seul enregistrement SPFMajeure · IETF
• Une politique DMARC est publiéeMajeure · ANSSI / IETF
• La politique DMARC demande un traitement des courriels non authentifiésMoyenne · IETF
• La politique DMARC demande des rapports agrégésMineure · IETF
• Une clé DKIM est trouvée sur un sélecteur courantPour information · IETF
• SPF : 10 requêtes DNS au plusMajeure · IETF
• SPF : 2 requêtes vides au plusMoyenne · IETF
• SPF : pas de terminaison neutre (?all)Majeure · IETF
• SPF : pas de terminaison permissive (+all)Majeure · IETF
• SPF en ~all : politique DMARC strictePour information · IETF
• DKIM : clés RSA de 1024 bits au moinsMajeure · IETF
• DKIM : clés RSA de 2048 bits au moinsMoyenne · IETF
• DKIM : aucune clé réservée à SHA-1Majeure · IETF
• Politique MTA-STS publiéePour information · IETF
• Rapports TLS (TLS-RPT) demandésPour information · IETF
• DMARC : politique des sous-domaines (sp, np)Pour information · IETF

Certificats et chiffrement

• Le certificat du site est valideMajeure · ANSSI / IETF
• Les versions obsolètes de TLS sont refuséesMajeure · ANSSI
• TLS 1.3 est proposéMineure · ANSSI
• En TLS 1.2, seules des suites AEAD sont acceptéesMineure · ANSSI

En-têtes de sécurité

• Le site en http:// redirige vers https://Majeure · IETF / ANSSI
• L'en-tête HSTS est présentMoyenne · ANSSI / IETF
• Une politique de sécurité du contenu (CSP) est déclaréeMoyenne · ANSSI
• La CSP n'autorise pas de contenu en ligneMineure · ANSSI
• L'en-tête X-Content-Type-Options est présentMineure · WHATWG
• Le site interdit son inclusion dans un cadre tiersMoyenne · ANSSI
• Une politique de référent est déclaréeMineure · ANSSI
• Les cookies du serveur portent les attributs de sécuritéMineure · ANSSI
• HSTS : un an au moins, sous-domaines comprisPour information · Chromium (hstspreload.org)

DNS

• DNSSEC est activéMineure · ANSSI / IETF
• Un enregistrement CAA restreint les autorités de certificationMineure · NIST (NCCoE)
• Au moins deux serveurs de nomsMineure · ANSSI / IETF
• Un fichier security.txt est publiéPour information · IETF
• Aucun sous-domaine publié ne pointe vers une cible disparueMoyenne · Microsoft / NCSC / OWASP

Versions annoncées

• Versions annoncées antérieures aux dernières versions corrigées connuesPour information · ANSSI
• Aucun composant annoncé en fin de viePour information · ANSSI / PHP
• jQuery hors de la plage touchée par les CVE-2020-11022 et CVE-2020-11023Pour information · NIST NVD