Une version n'est acceptée que lorsque son commit source, son manifeste de build, ses sommes de contrôle, ses migrations et sa commande de retour arrière concordent.
Le site public et la plateforme opérationnelle sont déployés indépendamment, mais renvoient à la même révision de source canonique.
La révision exacte du code utilisée pour la compilation.
Valeurs d'intégrité des paquets et de la configuration déployés.
La version de base de données attendue par cette version.
Une commande testée et l'artefact compatible précédent.
Le déploiement est le moment où naissent la plupart des incidents. Le nôtre est délibérément ennuyeux.
Chaque version est empaquetée dans une archive scellée avec somme de contrôle, dépaquetée dans son propre dossier et laissée intacte. Publier consiste à pointer un aiguillage vers le nouveau dossier — une opération unique et instantanée. La version précédente reste sur le disque telle quelle.
Comme l'ancien dossier n'a jamais été modifié, annuler une version consiste à remettre l'aiguillage en place. Il n'y a aucune procédure de restauration à improviser à deux heures du matin, et la commande est écrite avant la mise en production, pas après une panne.
Le site que vous lisez et la plateforme opérationnelle sont publiés indépendamment : un changement de texte ne peut jamais perturber la protection, et un correctif de plateforme n'attend pas un texte marketing. Chacun garde son propre historique de versions.
Tests automatisés, vérification de types, contrôle des liens et de la structure de chaque page générée, et un audit des affirmations qui fait échouer le build si une page publique contient un identifiant ou un numéro de version sans source vérifiée.
Les entrées décrivent ce qui a changé pour vous, pas quel composant interne a été touché.
Si une version change ce qu'une capacité peut faire, son état change avec elle sur la page d'état — une capacité ne devient jamais discrètement « disponible » sans un contrôle derrière. Vous pouvez aussi suivre les versions dans un lecteur de flux.
Versions notables de la plateforme, par ordre chronologique inverse.RSS
Des flux de réputation publics sont lus et chaque adresse que nous détenons déjà pour vous y est confrontée. Rien n'est envoyé à vos serveurs : les listes sont lues et les noms que vous nous avez donnés sont résolus. Le constat qui compte est le plus inconfortable — votre propre adresse dans un réseau listé, c'est ainsi que les e-mails commencent à être rejetés et que d'autres réseaux se mettent à jeter votre trafic, en général sans que personne ne vous prévienne. Nous utilisons Spamhaus DROP parce que ses conditions disent clairement qu'il est gratuit pour tous, et son attribution voyage dans chaque ligne que nous stockons. Les nœuds de sortie Tor sont également signalés, mais comme contexte et non comme faute : en exploiter un n'est pas une attaque, et un système qui le qualifierait ainsi vous apprendrait à l'ignorer. Un flux connu a été écarté parce que ses conditions ne disent jamais si l'usage commercial est permis — le même test qu'un autre flux n'avait pas passé plus tôt cette année.
Deux capacités étaient construites et n'atteignaient personne : le fragment de navigateur et le connecteur WordPress avaient tous deux besoin d'une adresse publique, et la seule publiée se trouvait derrière un proxy d'accès qui répond 401 à tout le monde. Il existe désormais un nom d'hôte dédié portant exactement quatre routes — beacon, inventaire, rapports de malwares, analyse publique — et un 404 pour tout le reste : la surface est une liste que l'on peut lire, pas une règle de proxy à laquelle il faut se fier. L'agent de malwares n'a plus besoin de son coursier et publie directement. L'intégrité de la page de paiement passe d'indisponible à disponible grâce à cela, pas grâce à une promesse.
Pour les sites hébergés sur notre propre infrastructure, un agent placé à côté du scanner lit chaque jour le contenu web et remonte des conclusions — un chemin, un nom de signature, une empreinte — jamais les fichiers eux-mêmes. Il a repéré un fichier de test déposé parmi 9 415 fichiers en environ soixante-dix secondes. Un web shell est critique, un installeur empaqueté est une nuisance, et la signature de test n'est ni l'un ni l'autre : tout signaler de la même façon apprendrait à l'opérateur à ignorer le panneau. Ajoute 38 927 signatures tierces gratuites, car le scanner de base est solide sur les binaires et faible sur les shells PHP qui apparaissent réellement en hébergement mutualisé.
Un skimmer de cartes ne touche jamais au serveur : il arrive comme un script de plus sur la page de paiement et lit le numéro dans le formulaire avant même que votre propre code ne le voie. L'origine reste donc inchangée et une empreinte de contenu ne voit rien. Ceci observe depuis le seul endroit où le skimmer existe — le navigateur du visiteur — et remonte de la structure, jamais du contenu : quels hôtes de script se chargent, si une fonction native du navigateur a été remplacée, combien de champs se trouvent là où personne ne les voit. Le premier rapport est une référence silencieuse. Une fonction remplacée est une chose à expliquer, pas une preuve : c'est aussi ainsi que fonctionne tout outil de session replay.
Les journaux de certificats nous renseignent déjà sur les noms pour lesquels quelqu'un a demandé un certificat. Ceci trouve le reste, en lisant des index publics et en interrogeant les résolveurs DNS — rien n'est envoyé à vos serveurs. Le constat qui compte est un enregistrement pointant vers un service qui n'existe plus : votre sous-domaine n'est pas revendiqué chez le fournisseur, et quiconque l'y enregistre sert du contenu depuis une adresse qui porte encore votre nom. Signalé seulement après que deux passages consécutifs concordent, pour qu'un résolveur ayant une mauvaise minute ne devienne pas une accusation. Cartographier notre propre parc a fait ressortir 29 noms, dont un hôte que nous n'avions inscrit nulle part.
Générez un rapport sur une période : il rend un verdict pour chaque mesure de l'article 21, cite les enregistrements exacts qui l'étayent — entrées d'audit, paquets signés, reçus d'exercices, délais des dossiers — et porte une empreinte de contenu permettant au lecteur de vérifier qu'il n'a pas été modifié. Une mesure sans preuve récente est signalée Inconnue, jamais comme réussie. Trois des dix mesures sont organisationnelles et le document dit clairement que nous ne les observons pas : la formation, la sécurité des ressources humaines et les communications d'urgence sécurisées.
Chaque action auditée montre désormais qui l'a faite et à quoi ressemblait la configuration avant et après ; les enregistrements l'ont toujours contenu et l'écran ne l'a jamais montré. Les tâches périodiques ont quitté la boucle commune, donc une analyse lente ne retarde plus rien d'autre, et les tâches de fond en échec temporisent puis passent en dead-letter au lieu de réessayer indéfiniment. Le flux Wordfence a été retiré : il n'est pas sous licence pour l'usage commercial que nous visons. Les avis WordPress proviennent maintenant des données CPE publiques du NVD, plus maigres et plus lentes, et nous le disons.
Un court extrait, collé dans la page comme le serait une balise d'analytique, signale les violations de content-security-policy et les erreurs JavaScript non interceptées depuis les navigateurs de vrais visiteurs. La clé est publique et ne porte aucun secret ; seuls des agrégats sont conservés, jamais un visiteur.
Vous indiquez l'URL et ce qui prouve qu'elle est saine : un code de statut, un marqueur dans la page. Toutes les cinq minutes nous la vérifions de l'extérieur, et un échec ouvre un dossier au lieu d'attendre qu'un client le remarque.
Nous générons les noms qu'un fraudeur enregistrerait contre le vôtre — une lettre en moins, une terminaison changée, un zéro à la place d'un o — et vérifions lesquels résolvent réellement. Sur le portefeuille actuel, cela a révélé 45 sosies déjà enregistrés.
Les journaux publics de Certificate Transparency sont lus pour chaque domaine surveillé. Ce qui existe au début de la surveillance est enregistré en silence comme référence ; un certificat qui apparaît ensuite ouvre un dossier, car c'est le moment de demander si vous l'avez émis.
TLS, en-têtes de sécurité, attributs de cookies, exposition des versions, SPF, DKIM, DMARC, MTA-STS, TLS-RPT et CAA sont vérifiés depuis l'extérieur du périmètre et résumés en une note de A à F. Rien n'est installé et aucun trafic n'est redirigé ; un domaine peut être surveillé uniquement de cette façon.
Les dossiers peuvent être pris en charge, annotés, fermés, rouverts et reportés, avec la file d'opérateur filtrée et paginée. Courriel de notification avec double consentement et résumé périodique. Réglages de compte, d'équipe et de forfait sur leurs propres pages plutôt qu'un long formulaire. Préréglages d'autonomie avec exceptions.
Le guidage d'activation, l'exercice sur l'adresse de reprise et la preuve d'origine privée sont arrivés dans le plan de contrôle. L'application reste conditionnée par des fenêtres de stabilité et des preuves de retour arrière.
Les agrégats de trafic à la minute, l'attribution de l'observation et les états vérifiés alimentent désormais le tableau de bord sans entrer dans le chemin de la requête.
Le tableau de bord client est passé au chargement de données par route, à des états inconnus explicites et à une structure persistante pour les opérations par portefeuille et par domaine.
Le rejeu des politiques, les routes de secours à l'edge et les contrôles de fraîcheur ont été testés de bout en bout, avec un exercice de panne d'origine.
La connexion est passée au flux d'identité auto-hébergé d'AegiFlow : sessions OIDC, passkeys, TOTP et vérification renforcée avant les actions sensibles, avec un parcours en roumain.
Le site public est passé à une source Astro bilingue unique avec versions immuables, sommes de contrôle et retour arrière testé.