Scan gratuit des vulnérabilités d’un site web : ce qu’un scan passif détecte et ses limites
Lancez un scan de sécurité web gratuit et sans risque pour la production avec Ostorlab : TLS, en-têtes de sécurité et composants présentant des vulnérabilités connues. Découvrez ce qu’un scan passif détecte, ses limites et quand un test actif devient nécessaire.
Scan gratuit des vulnérabilités d’un site web : ce qu’un scan passif détecte et ses limites
Réponse rapide : Le scan web gratuit d’Ostorlab vérifie TLS, les en-têtes de sécurité et les composants de votre site présentant des vulnérabilités connues, sans l’attaquer. Comme il est passif, vous pouvez l’exécuter en production. Saisissez une URL qui vous appartient ou que vous êtes autorisé à tester, et le rapport vous sera envoyé par e-mail.
Ce qu’un scan passif détecte
- Problèmes TLS. Certificats expirés ou faibles, anciennes versions du protocole, algorithmes de chiffrement faibles.
- En-têtes de sécurité manquants. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options et d’autres en-têtes qui bloquent les attaques courantes dans le navigateur.
- Composants présentant des vulnérabilités connues. Bibliothèques JavaScript, versions de CMS et logiciels serveur obsolètes associés à des CVE publiques.
- Informations exposées. Bannières de version et pages qui indiquent à un attaquant les logiciels que vous utilisez.
Ce sont les problèmes que les attaquants repèrent en premier, car des outils automatisés parcourent chaque jour tout Internet à leur recherche.
Ce qu’il ne peut pas détecter
Un scan passif ne se connecte pas à un compte, ne soumet aucun formulaire et n’envoie aucun payload d’attaque. Il ne peut donc pas détecter :
- les défaillances du contrôle d’accès qui permettent à l’utilisateur A de lire les données de l’utilisateur B (IDOR, BOLA)
- les failles de logique métier, comme une réduction appliquée deux fois
- les failles d’injection qui ne se déclenchent qu’à la soumission d’un formulaire ou lors d’un appel d’API
Ces problèmes sont à l’origine de la plupart des compromissions graves. Leur détection nécessite un test actif et authentifié. Agentic Deep Scan pour le web d’Ostorlab explore l’application comme un attaquant. Une fois le test configuré, il prend en charge les connexions SSO et MFA et étaye chaque vulnérabilité par des preuves reproductibles. Pour comprendre le fonctionnement général des tests dynamiques, consultez DAST (analyse dynamique) : comment ça marche ?.
Scan gratuit ou Agentic Deep Scan ?
| Scan web gratuit | Agentic Deep Scan | |
|---|---|---|
| Connexion | Non | Oui, y compris SSO et MFA, une fois le test configuré |
| Payloads d’attaque | Non | Oui, de manière contrôlée |
| API | Non | Oui |
| Sans risque en production | Oui | Configurable |
| Preuve pour chaque vulnérabilité | Non | Oui |
| Prix | Gratuit | Offre payante |
Découvrez les résultats d’un test actif dans l’exemple de rapport web.
Essayez-le sur votre propre site : scannez gratuitement votre site web.
FAQ
Le scan web gratuit peut-il être exécuté sans risque en production ? Oui. Il se contente d’explorer le site et de lire les réponses. Il ne soumet aucun formulaire et n’envoie aucun payload.
Dois-je être propriétaire du site web ? Oui. Vous devez être propriétaire du site ou être autorisé à le tester, et vous le confirmez dans le formulaire.
Le scan gratuit teste-t-il mon API ? Non. Les tests d’API font partie d’Agentic Deep Scan.
Quelle différence entre un scan web passif et un scan actif ? Un scan passif lit ce que le site expose : certificats, en-têtes et versions des composants. Un scan actif se connecte et envoie des requêtes de test pour détecter les failles de contrôle d’accès, de logique et d’injection.