Aegis · Analyse défensive

Comprends la posture de sécurité de ton domaine.

Aegis examine HTTPS, TLS, les en-têtes de sécurité, la CSP, les cookies, les redirections et le cache de ton site, puis te remet un rapport priorisé et actionnable. L'analyse n'est possible qu'après avoir prouvé, par DNS, que tu contrôles le domaine.

Vérifier un domaine Voir les contrôles

Fonctionnement

Vérifier, analyser, corriger

Trois étapes, sans compte ni installation. Aucun historique n'est conservé sur le serveur.

  1. Étape 1 : Vérifier

    Saisis ton domaine, puis publie le jeton fourni dans un enregistrement DNS TXT. Aegis vérifie la propriété avant toute connexion.

  2. Étape 2 : Analyser

    Aegis contacte uniquement la page d'accueil en HTTPS, lit le certificat et les en-têtes, suit au plus cinq redirections, et c'est tout.

  3. Étape 3 : Corriger

    Le rapport classe les constats par priorité et explique, pour chacun, l'impact et la correction concrète à appliquer.

Aperçu

À quoi ressemble un rapport

Rapport fictif pour le domaine réservé mon-site.example : aucune donnée réelle.

Résumé

Contrôles conformes
19
Recommandations
9
Problèmes importants
2
Domaine analysé
mon-site.example
Date de l'analyse
1 octobre 2026 à 10:30
Durée
1,8 s
  • HTTPS, certificat et redirections25 / 25
  • TLS négocié10 / 10
  • En-têtes HTTP de sécurité20,3 / 25
  • Content Security Policy12,8 / 20
  • Cookies9,5 / 15
  • Cache et informations exposées2,5 / 5

Score indicatif, sans valeur de certification ni garantie de sécurité.

  • script-src

    ProblèmePriorité Élevée

    'unsafe-inline' autorise tous les scripts en ligne : la CSP ne protège plus contre les injections de scripts (XSS).

    Observé : script-src 'self' 'unsafe-inline'

    Recommandation : Retire 'unsafe-inline' et autorise les scripts en ligne nécessaires par empreinte (sha256-…) ou par nonce.

    MDN : Content-Security-Policy(nouvel onglet)

  • Attribut HttpOnly

    ProblèmePriorité Élevée

    Ces cookies, qui semblent liés à la session, sont lisibles par JavaScript : une faille XSS suffirait à les voler.

    Observé : session_id

    Recommandation : Ajoute l'attribut HttpOnly aux cookies de session et d'authentification.

    MDN : Set-Cookie(nouvel onglet)

Contrôles

Ce qu'Aegis examine

Chaque contrôle indique son état, sa priorité, la donnée observée et une recommandation concrète.

Pondération du score : HTTPS, certificat et redirections 25 · TLS négocié 10 · En-têtes HTTP de sécurité 25 · Content Security Policy 20 · Cookies 15 · Cache et informations exposées 5.

Limites

Un outil défensif, volontairement borné

Aegis aide à repérer des écarts de configuration. Il ne remplace ni un audit de sécurité, ni un test d'intrusion autorisé.

  • Seule la page d'accueil du domaine vérifié est analysée : aucun autre chemin, aucune ressource secondaire, aucun JavaScript exécuté.
  • Aegis ne scanne pas de ports, n'énumère ni sous-domaines ni répertoires, n'envoie aucune charge d'attaque et ne tente aucune authentification.
  • Seuls les en-têtes HTTP et l'en-tête HTML de la page d'accueil (64 Kio au plus) sont lus : une protection ajoutée par JavaScript ou propre à d'autres pages n'est pas visible.
  • Les versions et suites TLS obsolètes ne sont pas testées : seule la négociation réellement retenue est rapportée.
  • Le score est indicatif. Il résume des bonnes pratiques observables de l'extérieur et ne constitue ni un audit complet, ni une certification, ni une garantie de sécurité.
  • Les rapports sont temporaires : ils expirent après 30 minutes et ne sont visibles que dans le navigateur qui a lancé l'analyse.

Un projet de Paul Viandier

Aegis fait partie des projets personnels présentés sur mon portfolio, entre cybersécurité et développement web.

Voir le portfolio