Scan d'exposition vs. scan de vulnérabilités vs. test d'intrusion

Trois questions différentes

« Mon site est-il sûr ? » n'est pas une question — c'en est au moins trois. L'un de mes logiciels est-il connu comme vulnérable ? Ai-je laissé quelque chose d'ouvert qui ne devrait pas l'être ? Et quelqu'un pourrait-il entrer maintenant ? Chacune a son propre type de vérification, et les confondre laisse des trous.

Les trois vérifications ci-dessous répondent à ces trois questions. Les deux premières sont sûres à exécuter en continu et automatiquement ; la troisième — attaquer réellement le site — est puissante mais risquée, occasionnelle et généralement menée par un humain. La plupart des vraies intrusions sont rendues possibles parce que les deux premières restent sans surveillance.

Scan de vulnérabilités : mon logiciel est-il connu comme vulnérable ?

Un scan de vulnérabilités dresse l'inventaire de vos logiciels — cœur WordPress, extensions, thèmes — et vérifie chaque version face à des bases de vulnérabilités connues (CVE). Si une extension que vous avez a une faille publiée non corrigée dans votre version, elle est signalée. Le parcours de vulnérabilités de Relvato le fait via le flux Wordfence Intelligence et WPScan, et priorise selon la gravité et selon qu'une faille est activement exploitée (CISA KEV).

C'est essentiel : la plupart des piratages WordPress passent par une extension avec une CVE connue non corrigée. Sa limite : il ne connaît que les vulnérabilités DIVULGUÉES dans des logiciels qu'il peut identifier. Il ne dit rien de votre configuration, ni d'une extension propre qui fait quelque chose de dangereux, ni de fichiers que vous avez laissés accessibles par erreur.

Scan d'exposition/durcissement : qu'ai-je laissé ouvert ?

Un scan d'exposition adopte le point de vue de l'attaquant depuis l'EXTÉRIEUR : il demande des URL et lit les réponses pour trouver ce qui ne devrait pas être accessible. Pas du code vulnérable — de la mauvaise configuration et de l'exposition. Un .env ou une sauvegarde de base de données oublié à la racine web, un dossier .git exposé (tout votre code et historique), le listing de répertoire activé, XML-RPC activé pour la force brute, des noms d'utilisateur qui fuient par l'API REST, des en-têtes de sécurité manquants.

C'est là que commence une part énorme des vraies intrusions — pas avec un exploit astucieux, mais avec une porte que quelqu'un a oublié de fermer. Et c'est invisible pour un scan de vulnérabilités, car rien de tout cela n'est une CVE. Le scan d'exposition de Relvato le fait en continu, en lecture seule (il n'exploite jamais rien), sur le site dont vous avez prouvé la propriété, et signale un secret nouvellement exposé le jour où il apparaît.

Parce qu'il est non intrusif — de simples requêtes GET, sans charges, sans force brute —, il est sûr à exécuter automatiquement et souvent, ce qui est exactement ce qui repère une sauvegarde restée après une migration.

Tests d'intrusion : quelqu'un pourrait-il vraiment entrer ?

Un test d'intrusion va plus loin : un testeur (généralement un humain, parfois avec un outillage lourd) tente activement d'exploiter ce qu'il trouve — injecter des charges, enchaîner des faiblesses, tenter d'obtenir un accès — pour prouver un impact réel et exploitable. C'est le plus complet, et le seul qui confirme un constat en le démontrant.

Les compromis expliquent pourquoi il n'est pas continu : il est intrusif par nature (il peut casser des choses, créer des données parasites, déclencher des défenses ou mettre un site à terre), il nécessite une autorisation explicite pour les systèmes et l'hébergement concrets, et c'est généralement une mission planifiée, pas un moniteur permanent. Un bon programme de sécurité effectue un pentest périodiquement ET surveille l'exposition et les vulnérabilités en continu entre-temps.

Pourquoi Relvato fait les deux premiers en continu — et pas le troisième

Relvato est un moniteur continu de sites dont les clients ont prouvé la propriété, il effectue donc les deux vérifications sûres à automatiser — scan de vulnérabilités et scan d'exposition — et les relance à chaque changement pertinent. La partie active, fondée sur l'exploitation, il ne la fait délibérément PAS : sur une boutique en production, injecter des charges ou faire de la force brute pourrait corrompre des données, bloquer de vrais clients ou mettre la boutique à terre, et cela dépasserait ce qu'autorise la vérification de domaine (vous contrôlez la page, pas nécessairement le serveur ou l'hébergement).

La lecture honnête est donc : Relvato couvre en continu les questions « est-ce vulnérable ? » et « qu'ai-je laissé ouvert ? », et complète — sans remplacer — un test d'intrusion humain occasionnel pour la question « quelqu'un pourrait-il vraiment entrer ? ».

Comment fonctionne le scan d'exposition de Relvato

Il exécute un petit ensemble choisi de requêtes en lecture seule sur votre site vérifié, depuis un user-agent identifié (pas un attaquant furtif), à faible débit. Il confirme chaque constat par le contenu — un .env exposé doit vraiment ressembler à un fichier env, de sorte qu'une page soft-404 ne donne jamais de faux positif — et sépare l'exposition critique (un secret ou une sauvegarde accessible, qui fait échouer la vérification et vous alerte) des lacunes de durcissement (en-têtes manquants, XML-RPC activé, énumération, qui avertissent). Ce qui est attendu sur votre site peut être marqué comme examiné.

Il fonctionne sur tout site : les vérifications génériques (fichiers exposés, listing de répertoire, en-têtes) s'appliquent partout, et les sondes propres à WordPress ne correspondent tout simplement pas sur un site non WordPress. Aucune extension.