TLS, en-têtes HTTP et cookies

Ce que votre serveur répond à une requête ordinaire en dit plus sur votre posture que n'importe quelle politique écrite.

Buteo ouvre une connexion, observe quelles versions de protocole et quels chiffrements le serveur accepte, combien de temps il reste au certificat et si la chaîne est complète, et lui attribue une note. Puis il lit la réponse : quels en-têtes de sécurité sont présents, lesquels manquent et ce que chaque absence permet en pratique. Il inventorie les cookies que le site dépose avec leurs attributs, ce qui relève de la conversation RGPD et pas seulement d'une question technique. Et il détecte les cartes de code publiées par erreur, qui livrent le code source original d'une application à qui sait où regarder.

Ce que Buteo audite

• ✓Versions de protocole et chiffrements acceptés, avec note
• ✓Validité de la chaîne de certificats et temps restant
• ✓En-têtes de sécurité présents et manquants, avec l'effet de chaque absence
• ✓Inventaire des cookies et de leurs attributs
• ✓Cartes de code exposées en production
• ✓Technologies détectées à partir de la réponse déjà obtenue