Limiter la destination
Les domaines sont validés et les adresses privées, locales ou réservées sont refusées afin de maintenir la lecture sur l’espace public prévu.
SÉCURITÉ / Sécurité du service
Comment Scanapse protège le service
Lire un domaine public implique de traiter des entrées qui ne sont pas sous le contrôle de Scanapse. La sécurité du service repose donc d’abord sur une règle simple : réduire le périmètre, revalider chaque étape et refuser ce qui n’a pas besoin d’être atteint.
Garde-fous
Quatre familles de protections
Les contrôles détaillés restent accessibles plus bas, mais leur finalité peut être comprise sans connaître les mécanismes internes.
Maîtriser les connexions
Les résolutions et redirections sont revalidées, les ports sont bornés et la connexion sécurisée vérifie le nom d’hôte présenté.
Limiter les ressources
Les délais, tailles de réponse, redirections et fréquences sont limités pour éviter qu’une lecture ne monopolise le service ou ne devienne agressive.
Protéger la restitution
Les rapports, formulaires et assets utilisent des mécanismes de validation et d’intégrité afin que la restitution publique n’expose pas les secrets internes du service.
Voir les contrôles techniques actuellement appliqués
- Validation stricte des domaines ASCII et refus des IP littérales
- Blocage des plages privées, locales, réservées, multicast et documentation
- Connexion épinglée sur l’adresse DNS publique validée
- Revalidation de chaque redirection et limitation aux ports 80/443
- Certificats TLS vérifiés avec SNI et nom d’hôte
- Délais courts, taille de réponse plafonnée et nombre de redirections limité
- Jetons CSRF stateless, rate limiting par empreinte HMAC et verrou par domaine
- Rapports signés HMAC, écritures atomiques et dossiers privés interdits au web
- CSP stricte, aucune ressource tierce, aucun script inline et SRI sur les assets
Ce que cette page ne promet pas. Elle décrit les garde-fous mis en place dans l’application telle qu’elle est livrée. Elle ne constitue pas une certification de sécurité et ne remplace ni la sécurité de l’hébergeur ni une revue indépendante du service.