Ceci est un rapport d'exemple illustrant la structure et le contenu d'un rapport Cyberdur. La cible et les données ci-dessous sont fictives ; les failles reprennent le format exact produit par nos outils (DNS, TLS, modèles nuclei, CORS, bibliothèques JavaScript, secrets). Votre rapport aura cette même structure, appliquée à votre propre application.
CYBERDUR — Rapport de test de sécurité
- Cible
- https://shop.example.com (boutique en ligne, exemple fictif)
- Date du test
- 18 septembre 2026
- ID de rapport
- CYB-2026-K3F9Q2
- Type de test
- Externe, black box, non destructif, non authentifié
Synthèse
11 failles ont été détectées lors de ce test : 1 de sévérité critique, 2 de sévérité élevée, 5 de sévérité moyenne et 3 de sévérité faible. Consultez le détail ci-dessous pour la description et les étapes de reproduction.
Périmètre du test
Ce test automatisé, externe, en black box et non destructif couvre : l'exploration du site sur plusieurs niveaux de profondeur ; l'analyse TLS/SSL (protocoles, chiffrement, certificat, HSTS) ; la détection des mauvaises configurations et des fichiers exposés ; la détection d'injections courantes (XSS, SQLi par message d'erreur, lecture de fichiers locaux) ; le contrôle de la politique CORS ; les bibliothèques JavaScript vulnérables ; les secrets exposés dans le code public (clés, jetons) ; et la configuration e-mail du domaine (SPF, DMARC, CAA). Aucune exploitation n'est réalisée et aucune de vos données n'est modifiée. Lorsqu'un contrôle ne signale rien, cela signifie qu'il n'a révélé aucune faille.
1
Critique
2
Élevée
5
Moyenne
3
Faible
2
Informations
Failles de sécurité (11 failles)
Error based SQL injection
CRITIQUEÉtapes de reproduction
nuclei -t error-based-sql-injection -u https://shop.example.com/search?q=%27
Secret expose (generic-api-key) dans https://shop.example.com/static/js/app.8c1f2e.js
ÉLEVÉEÉtapes de reproduction
Ligne 1 de https://shop.example.com/static/js/app.8c1f2e.js (regle Gitleaks 'generic-api-key').
Top 38 Parameters - Cross-Site Scripting
ÉLEVÉEÉtapes de reproduction
nuclei -t top-xss-params -u https://shop.example.com/search?q=%22%3E%3Cscript%3Ealert(1)%3C/script%3E
Git Configuration - Detect
MOYENNEÉtapes de reproduction
nuclei -t git-config -u https://shop.example.com/.git/config
This host has whitelisted a third party host for cross origin requests.
MOYENNEÉtapes de reproduction
If the whitelisted host is a code hosting platform such as codepen.io or has an XSS vulnerability, it can be used to exploit this misconfiguration.
jquery 3.3.1 : CVE-2019-11358
MOYENNEÉtapes de reproduction
Bibliotheque jquery v3.3.1 chargee publiquement par https://shop.example.com (cf. properties 'foundIn' du composant dans le SBOM).
Aucun enregistrement DMARC
MOYENNEDescription
Aucun enregistrement DMARC n'est publié (sous-domaine _dmarc). Le DMARC indique aux serveurs destinataires quoi faire des emails qui échouent aux contrôles SPF/DKIM, et signale les abus de votre domaine. Sans lui, il est plus facile d'usurper votre domaine dans des emails de phishing.
Étapes de reproduction
dig TXT _dmarc.shop.example.com — aucune valeur ne commence par 'v=DMARC1'
Recommandation de correction
Configurez d'abord le SPF (et le DKIM), puis publiez un enregistrement TXT sur _dmarc.votre-domaine, en mode surveillance au début : v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine. Passez à p=quarantine ou p=reject une fois les rapports satisfaisants.
HSTS: not offered
MOYENNEDescription
Le site n'envoie pas l'en-tête Strict-Transport-Security (HSTS). Sans lui, la première connexion d'un visiteur, ou une connexion sur un réseau hostile, peut être rétrogradée en HTTP non chiffré et interceptée.
Étapes de reproduction
testssl.sh --fast shop.example.com : HSTS = not offered
Recommandation de correction
Ajoutez l'en-tête Strict-Transport-Security: max-age=31536000; includeSubDomains sur votre serveur web ou votre CDN. Une fois HTTPS actif partout sur votre domaine, vous pouvez aussi ajouter la directive preload.
BREACH: potentially VULNERABLE, gzip HTTP compression detected - only supplied '/' tested
FAIBLEDescription
La compression gzip est activée sur les réponses HTTPS. Dans des conditions précises, l'attaque BREACH peut alors récupérer des secrets (comme un jeton CSRF) dans des pages qui reflètent aussi une saisie utilisateur. L'exploitabilité dépend de vos pages : elle est faible pour du contenu statique, plus élevée pour des pages avec formulaires, sessions ou termes de recherche reflétés.
Étapes de reproduction
testssl.sh --fast shop.example.com : BREACH = potentially VULNERABLE, gzip HTTP compression detected - only supplied '/' tested
Recommandation de correction
Désactivez la compression HTTP sur les pages qui reflètent une saisie utilisateur à côté de secrets, changez les jetons CSRF à chaque requête, ou limitez le nombre de requêtes.
Aucun enregistrement CAA
FAIBLEDescription
Aucun enregistrement CAA n'est publié pour le domaine. Sans lui, n'importe quelle autorité de certification peut émettre des certificats pour votre nom de domaine.
Étapes de reproduction
dig CAA shop.example.com — reponse vide
Recommandation de correction
Ajoutez un enregistrement DNS CAA qui liste uniquement les autorités que vous utilisez, par exemple : 0 issue "letsencrypt.org".
Missing HTTP security headers: Content-Security-Policy, Referrer-Policy
FAIBLEDescription
Les en-têtes indiqués dans le titre sont absents des réponses de votre site. Content-Security-Policy limite les scripts autorisés à s'exécuter sur vos pages (défense contre les injections) ; X-Frame-Options (ou frame-ancestors) empêche vos pages d'être intégrées dans un autre site (clickjacking) ; X-Content-Type-Options: nosniff empêche les navigateurs de deviner le type des fichiers ; Referrer-Policy contrôle ce qui est transmis aux autres sites.
Étapes de reproduction
curl -sI https://shop.example.com : absent = Content-Security-Policy, Referrer-Policy
Recommandation de correction
Ajoutez les en-têtes manquants sur votre serveur web ou votre CDN. Point de départ simple : X-Frame-Options: SAMEORIGIN, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin. Content-Security-Policy demande plus de soin : commencez en mode rapport seul (Content-Security-Policy-Report-Only) pour ne pas casser vos propres scripts, puis appliquez-la.
Informations (2)
Constats à titre informatif : ce ne sont pas des failles de sécurité.
cert_trust_wildcard: trust is via wildcard
Le certificat couvre le domaine par une entrée générique (wildcard). C'est normal. Notez qu'un certificat wildcard protège tous les sous-domaines avec la même clé.
testssl.sh --fast shop.example.com : cert_trust_wildcard = trust is via wildcard
FS_KEMs: No KEMs offered
Le serveur ne propose pas encore d'échange de clés post-quantique. C'est une précaution pour l'avenir, pas une faille actuelle.
testssl.sh --fast shop.example.com : FS_KEMs = No KEMs offered
Ce que couvre un test CYBERDUR
Ce bloc détaille le périmètre du test, y compris ce qui est hors périmètre ; seul le paragraphe de périmètre en tête de rapport fait partie du rapport livré.
Vérifications réalisées
- Exploration du site sur plusieurs niveaux de profondeur
- Analyse TLS/SSL : protocoles, chiffrement, certificat, HSTS
- Détection des mauvaises configurations et fichiers exposés
- Détection d'injections courantes : XSS, SQLi par message d'erreur, lecture de fichiers locaux
- Contrôle de la politique CORS
- Bibliothèques JavaScript vulnérables
- Secrets exposés dans le code public (clés, jetons)
- Configuration e-mail du domaine (SPF, DMARC, CAA)
Hors périmètre
- Contrôle d'accès (IDOR, élévation de privilèges) et logique métier
- Authentification : force brute, gestion des sessions, politique de mots de passe
- Injections aveugles et SSRF
- Déni de service, ingénierie sociale, sécurité physique
- Accompagnement à la mise en œuvre des corrections : le rapport donne la marche à suivre pour les constats courants, sans prestation de conseil
Le test est externe, en black box et non destructif : aucune exploitation, aucune modification de vos données. Les résultats reflètent l'état de l'application au moment du test.
Un rapport comme celui-ci pour votre application ?
CYBERDUR réalise des tests de sécurité automatisés, externes et non destructifs sur votre application — le même type de test que celui décrit dans ce rapport, sans engagement de conseil.