Modèle de rapport — constat de surface
Document type · CopyCoop / Assemblées Citoyennes Client : [Nom du client] · Numéro de coopérateur : COP-2026-XXXX Domaine déclaré : [exemple.org] · Date du constat : [JJ/MM/AAAA] Mandat : le client déclare être titulaire du domaine ou mandaté pour le tester.
1. Objet et périmètre
Ce document rapporte ce qui est observable depuis l'extérieur sur le domaine déclaré, à la date indiquée. Il ne s'agit pas d'un test d'intrusion : aucune tentative d'exploitation n'a été menée.
Périmètre : nom de domaine et adresse IP déclarés, ports et services joignables publiquement. Hors périmètre : le poste de travail du client, ses comptes de messagerie, et tout système non déclaré.
2. Ce que nous avons vérifié
| Contrôle | Méthode |
|---|---|
| Résolution DNS | interrogation des serveurs de noms publics |
| Certificat TLS | lecture de la chaîne et des dates de validité |
| En-têtes de sécurité | lecture des en-têtes HTTP renvoyés |
| Chemins sensibles exposés | requêtes GET sur des chemins publics connus |
| Ports ouverts | relevé non intrusif des services en écoute |
3. Constats
| # | Constat | Gravité | Recommandation |
|---|---|---|---|
| 1 | [ex. : certificat valable jusqu'au …] | — | renouvellement automatique |
| 2 | [ex. : /.env accessible sans authentification] | élevée | retirer le fichier du dossier public |
| 3 | [ex. : en-tête Strict-Transport-Security absent] | moyenne | l'ajouter à la configuration du serveur |
Chaque constat porte sa preuve : commande exécutée, date et heure, réponse observée.
4. Ce que ce rapport ne dit pas
- Il ne garantit pas l'absence de faille : seuls les contrôles listés au §2 ont été menés.
- Il ne couvre pas l'intérieur du système : ni les comptes, ni la base de données, ni le code.
- Il ne remplace pas une mise à jour des logiciels : un site à jour reste la première protection.
5. Suites proposées
- Corriger les constats de gravité élevée en priorité.
- Programmer un nouveau constat après correction, pour vérifier.
- Pour un suivi continu : rapports réguliers, avec alerte en cas de changement.
6. Cadre
Ce constat a été réalisé à la demande du client et sur le seul domaine qu'il a déclaré. Chaque requête est journalisée. Aucun test n'est mené sur un domaine tiers, ni sans déclaration préalable.
Document produit par la chaîne de publication CopyCoop. Rendu HTML autonome, lisible au navigateur et imprimable en PDF.