# SpectrAI documentation > SpectrAI guides, tutorials and reference: domain ownership proof, Guidance, internal relay, findings, reports, retests, orders and partner spaces. The complete public documentation of SpectrAI, English pages first, then French. Each page opens with a level-one heading followed by its addresses and metadata. The index of pages is https://docs.spectr-ai.eu/llms.txt; the public site is described in https://spectr-ai.eu/llms.txt. ## Contents (English) - Getting started: Introducing SpectrAI, Key concepts, Your first pentest, Glossary - External pentest: Verify the domain, Write the Guidance, Launch a pentest, During the test, Follow the activity - Internal scans: The relay, Install the relay, The testing mandate, Launch an internal scan - Results: Findings and evidence, Attack paths, The report, Correction retests, NIS2 index - Offers and orders: The catalogue, Ordering an evaluation, The annual programme - Partners: Console and client spaces, Client spaces, White label, Partner orders - Account and security: Sign-in and second factor, Team and roles, Notifications, Data and privacy - Reference: Limits and commitments, Deadlines and expirations, Troubleshooting, Frequently asked questions, Use the documentation with AI, Changelog ## Contents (French) - Démarrer: Présentation de SpectrAI, Concepts clés, Votre premier pentest, Glossaire - Pentest externe: Vérifier le domaine, Rédiger la Guidance, Lancer un pentest, Pendant le test, Suivre l'activité - Scans internes: Le relais, Installer le relais, Le mandat de test, Lancer un scan interne - Résultats: Findings et preuves, Chemins d'attaque, Le rapport, Retests de correction, Index NIS2 - Offres et commandes: Le catalogue, Commander une évaluation, Le programme annuel - Partenaires: Console et espaces clients, Espaces clients, Marque blanche, Commandes partenaires - Compte et sécurité: Connexion et second facteur, Équipe et rôles, Notifications, Données et confidentialité - Référence: Limites et engagements, Délais et expirations, Dépannage, Questions fréquentes, Utiliser la documentation avec une IA, Journal des modifications # Getting started - URL: https://docs.spectr-ai.eu/en/demarrer - Markdown: https://docs.spectr-ai.eu/en/demarrer.md - Language: en - Section: Getting started - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > What SpectrAI does, the notions to know, the first pentest end to end and the product vocabulary. SpectrAI tests a named web application, from the Internet (external pentest) or from inside your network through a relay installed on your premises (internal scan). Autonomous agents test the perimeter you have authorised, the evidence is verified automatically and the report is published without human validation. This section presents the product in a few minutes, explains the model (application, ownership proof, Guidance, pentest, findings, report), then walks through a first external pentest from signup to the report. > [!NOTE] > Every page of this documentation describes what the product does today. Capabilities that are absent are listed in [Limits and commitments](https://docs.spectr-ai.eu/en/reference/limites) rather than promised. --- # Introducing SpectrAI - URL: https://docs.spectr-ai.eu/en/demarrer/presentation - Markdown: https://docs.spectr-ai.eu/en/demarrer/presentation.md - Language: en - Section: Getting started - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > An autonomous pentest of a named application, external or internal, with verified evidence, a frozen report and correction retests. What it is, who it is for, and its limits. ## What SpectrAI does SpectrAI performs a penetration test of a web application and its associated APIs, in an agreed environment. Two execution modes exist: | Mode | From where | What you provide | |---|---|---| | External pentest | The Internet | The exact URL of the application and the proof that you control its domain | | Internal scan | Your network, through a relay installed on site | A declared site, an agent installed on a machine of that site and a mandate: the authorised application, its optional subdomains, its HTTPS ports and a duration. Enabled by SpectrAI on your space | In both cases, test agents work within the authorised perimeter, with consumption and duration limits managed by SpectrAI. Only demonstrated weaknesses are published, each with its evidence. The report is a frozen document, exportable as PDF, and each report entitles you to two correction retest batches within sixty days. ## Who it is for - SMEs and mid-sized companies that want a test with evidence of their applications exposed on the Internet or of their private services. - Security firms, MSSPs, MSPs and managed service providers that deliver these tests under their own brand, for several clients, from a dedicated console. ## How it works 1. You register the application (its target) and prove that you control its domain, or you install a relay in your network. 2. You describe the Guidance: attack surface, priorities, strategy and prohibited techniques, evidence requirements, API documents. 3. You prepare the pentest, attest the authorisation and launch it. 4. You follow the activity during the test. 5. You receive the verified findings, their evidence, the attack paths and the report. 6. You fix, then you launch your retest batches. The detail of each step is in [Your first pentest](https://docs.spectr-ai.eu/en/demarrer/premier-pentest). ## Limits of SpectrAI - SpectrAI provides neither live monitoring nor a monthly subscription that can be cancelled at any time: an order covers one full evaluation, or two over twelve months. - SpectrAI issues neither a certification nor a regulatory audit. The NIS2 index classifies the evidence; it does not attest compliance. - SpectrAI does not test bare IP addresses, code repositories or source code: only named web applications are covered. - The perimeter never widens according to what the agents encounter during the test. > [!IMPORTANT] > Finding assessment and report publication are fully autonomous. Nobody proofreads or holds back a report before its delivery: what you read is what the automatic checks of evidence, perimeter and consistency have let through. ## Where the product is The application is at [app.spectr-ai.eu](https://app.spectr-ai.eu). The public pages on [spectr-ai.eu](https://spectr-ai.eu/en) describe the [offers](https://spectr-ai.eu/en/offres), the [methodology](https://spectr-ai.eu/en/methodologie) and a [sample report](https://spectr-ai.eu/en/exemple-de-rapport). SpectrAI is a rootzero product; the legal publisher is Thucy SARL (see the [legal notice](https://spectr-ai.eu/en/mentions-legales)). --- # Key concepts - URL: https://docs.spectr-ai.eu/en/demarrer/concepts - Markdown: https://docs.spectr-ai.eu/en/demarrer/concepts.md - Language: en - Section: Getting started - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Target, ownership proof, Guidance, pentest, attempt, findings, evidence, attack paths, report, retests: how these objects fit together in SpectrAI. ## The model in one picture ```text Agency (partner firm, or the SpectrAI house agency) └── Client space (the boundary between clients) └── Target (one application, registered once) ├── Ownership proof (HTTPS file or DNS TXT record) ├── Guidance (context reused from one test to the next) └── Pentest (one dated mission) └── Attempt(s) (initial execution, then a possible resume) ├── live activity ├── findings and evidence ├── derived attack paths └── frozen report ``` A target is not a pentest: an application is registered once and can be tested several times. A resume creates a new attempt on the same mission. ## Target A target is a web application named by its exact URL (for example `https://app.exemple.fr`), with its associated APIs. Its page lists the authorised HTTPS URLs under the verified domain and the explicit exclusions. It belongs to a client space. Bare IP addresses are not targets. ## Ownership proof Before any external pentest, you prove that you control the target's domain, through a file published over HTTPS on the exact origin or through a DNS TXT record on the parent domain. The verification code is valid for 72 hours; an accepted proof remains valid for 90 days. See [Verify the domain](https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine). For an internal scan, the testing authorisation set on the site (the mandate: hostname, optional subdomains, HTTPS ports, duration) plays this role. See [The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions). ## Guidance The Guidance is the context you give the agents: attack surface, priorities, strategy, validation rules, API documents and test accounts. It is versioned; each pentest starts from the active Guidance of its target. It can never widen the verified URLs. See [Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance). ## Pentest and attempt A pentest is a dated mission on a target, with its ordered authorised URLs and, if needed, test accounts. Its execution is an attempt. If an attempt is interrupted for an eligible cause, a resume creates a second attempt on the same mission. Only the results of the last successful, complete and consistent attempt are presented to you. ## Findings and evidence A finding is a demonstrated weakness. It carries a severity (CVSS), a classification (CWE), a description, an impact, a recommendation and its evidence: redacted HTTP requests and responses, proof of concept or artefacts. What has not been demonstrated is not published. See [Findings and evidence](https://docs.spectr-ai.eu/en/resultats/findings-et-preuves). ## Attack paths Proven findings are linked into attack paths, with the provenance of each step. They are derived from the evidence; they add no assumption. See [Attack paths](https://docs.spectr-ai.eu/en/resultats/chemins-d-attaque). ## Report The report is a frozen snapshot of a completed pentest: data, brand and limits are fixed there at publication time. It is published automatically, even without any finding, and exports as PDF. See [The report](https://docs.spectr-ai.eu/en/resultats/rapport). ## Retest batches After each report, two correction retest batches are included for sixty days. A batch groups the fixes you want to have verified. See [Correction retests](https://docs.spectr-ai.eu/en/resultats/retests). ## Evaluation An evaluation is the right to launch a full pentest. A one-off pentest contains one; an annual programme contains two over twelve months. Retest batches are distinct from evaluations. See [The catalogue](https://docs.spectr-ai.eu/en/offres-et-commandes/catalogue). ## Client space, agency, console A client space isolates a client's data. An agency (partner firm) manages several client spaces from its console and enters a space to work there as the client itself. Direct clients are attached to the SpectrAI house agency. See [Console and client spaces](https://docs.spectr-ai.eu/en/partenaires/console). --- # Your first pentest - URL: https://docs.spectr-ai.eu/en/demarrer/premier-pentest - Markdown: https://docs.spectr-ai.eu/en/demarrer/premier-pentest.md - Language: en - Section: Getting started - Type: Tutorial (tutorial) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > From signup to the report: create the account, register the application, prove the domain, write the Guidance, launch the pentest, read the results and prepare the retests. This tutorial follows a complete external pentest of an application `https://app.exemple.fr`. Allow about fifteen minutes of preparation; the duration of the test then depends on the application and on the execution queue. ## Before you begin - You control the application's domain (access to the web server or to the DNS zone). - You are authorised to have this application tested: you own it or you hold a prior written authorisation from its owner, valid for the whole duration of the test. - The application is reachable from the Internet over HTTP(S) on an IPv4 address. ## 1. Create the account 1. Open the signup page and confirm your e-mail address. 2. At first sign-in, SpectrAI proposes a second factor once: authenticator app, e-mail code, or later. It is never imposed on a client; you can enable it from [My account](https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur). 3. A direct signup creates a client space attached to the SpectrAI house agency. It is approved automatically if catalogue sales are open at signup; otherwise, a waiting page explains it until approval by an operator. If you received an invitation (from a colleague or a partner firm), simply follow its link: it keeps its own flow. ## 2. Register the application 1. In **Targets**, choose **Add a target**. 2. Enter the exact URL of the application, for example `https://app.exemple.fr`. The exact URL is the starting point of the scope. You will be able to add other HTTPS URLs under the verified domain and explicit exclusions in the target page; nothing is added by discovery during the test. ## 3. Prove control of the domain 1. Choose a method: HTTPS file on the exact origin, or DNS TXT record on the parent domain. 2. Publish the provided code, then run the verification. The code is valid for 72 hours; the accepted proof remains valid for 90 days. The details, including the causes of failure, are in [Verify the domain](https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine). ## 4. Write the Guidance The Guidance opens once the domain is verified. Start from a template (SaaS, e-commerce, API, website), then describe the attack surface, the priorities, the strategy and prohibited techniques, the evidence requirements and the stop conditions; attach your OpenAPI, Swagger or Postman documents. Publish the Guidance: each pentest starts from the active version. See [Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance). ## 5. Order The purchase is made from the application's page, once the ownership proof is valid and the Guidance active. Choose a one-off pentest or an annual programme, then pay by card on the hosted checkout page. The rights open on payment confirmation. See [Ordering an evaluation](https://docs.spectr-ai.eu/en/offres-et-commandes/commander). ## 6. Prepare and launch the pentest 1. In **Pentests**, choose **Prepare a pentest** and select the target. 2. Choose and order the authorised URLs, provide dedicated test accounts if needed and set the guardrails (excluded paths, rate, careful mode, start window). 3. Read and accept the five authorisation attestations. 4. Launch. An available evaluation is deducted; a valid retest is not. See [Launch a pentest](https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest). ## 7. Follow the activity The pentest page shows its phases, its duration, the latest end time, the test plan and the surfaces tested. You can cancel; a resume is only offered if the mission is eligible. See [During the test](https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test) and [Follow the activity](https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite). ## 8. Read the results At the end, the proven findings, their redacted HTTP evidence and the attack paths appear in **Findings** and in the pentest page. The final report is published automatically in **Reports**, downloadable as PDF and shareable through a revocable link. ## 9. Fix and have it retested Fix, then prepare a retest batch from the findings concerned: two batches are included within the sixty days following the report. See [Correction retests](https://docs.spectr-ai.eu/en/resultats/retests). > [!TIP] > Before ordering, read a [sample report](https://spectr-ai.eu/en/exemple-de-rapport): it shows exactly the shape of the deliverables you will receive. --- # Glossary - URL: https://docs.spectr-ai.eu/en/demarrer/glossaire - Markdown: https://docs.spectr-ai.eu/en/demarrer/glossaire.md - Language: en - Section: Getting started - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > The terms used in the application, the reports and this documentation, with their short definition and a link to the page that details them. | Term | Definition | |---|---| | Agency | A partner firm (or the SpectrAI house agency) that manages several client spaces from its console. See [Console and client spaces](https://docs.spectr-ai.eu/en/partenaires/console). | | Agent (relay) | The software installed on a machine of your network for internal scans. See [The relay](https://docs.spectr-ai.eu/en/scans-internes/relais). | | Annual programme | Two full evaluations of the same application over twelve months, without automatic renewal. | | Attack path | A demonstrated chain of findings, with the provenance of each step. See [Attack paths](https://docs.spectr-ai.eu/en/resultats/chemins-d-attaque). | | Attempt | One execution of a pentest. Only the last successful, complete and consistent attempt is presented. | | Authorisation attestation | The declaration you accept at launch: you own the addresses tested or hold the written authorisation of their owner. | | Client space | The boundary between clients: a client's targets, pentests, findings, reports and team. | | Console | An agency's workspace: overview, clients, missions, team and white label. | | CVSS | The severity score of a finding. It structures the deliverable; it does not replace your risk analysis. | | CWE | The classification of a finding's weakness. | | Ownership proof | The demonstration that you control the domain of an external target, through an HTTPS file or a DNS TXT record. | | Evaluation | The right to launch a full pentest. One per one-off pentest, two per annual programme. | | Evidence | What demonstrates a finding: redacted HTTP requests and responses, proof of concept, artefacts. | | Finding | A demonstrated weakness, published with its evidence. In the application, the page that lists them is called **Findings**. | | Guidance | The versioned context given to the agents: attack surface, priorities, strategy and prohibited techniques, evidence requirements and stop conditions, API documents. | | Guardrails | The optional instructions of a pentest: excluded paths, maximum requested rate, careful mode, start window (the only one enforced by the platform). | | Inconclusive result | The verdict of a retest that did not find the original finding again. It does not prove that the fix is correct. | | Mandate | The testing authorisation of an internal site: the application's hostname, subdomains included or not, HTTPS ports and validity period, in signed revisions. | | Mission | In an agency's console, the execution right assigned to a client. | | NIS2 index | A classification of the evidence according to selected controls of article 21 of NIS2. It does not attest compliance. | | Pentest | A dated mission on a target. In the application, the **Pentests** page. | | Relay | The arrangement that allows testing from inside your network: an agent installed on site and a testing authorisation. | | Report | The frozen snapshot of a completed pentest, published automatically, exportable as PDF. | | Resume | A new attempt on the same mission after an eligible interruption. | | Retest batch | A set of fixes to have verified after a report. Two batches included per report, within sixty days. | | Second factor | The authenticator app or the e-mail code requested after the password. | | Site | An internal network declared in **Sites and agents** by its private IPv4 ranges, where an agent is installed. | | Target | A web application named by its exact URL, registered once and tested several times. | | White label | The delivery of the reports and the client space under a partner's name, logo and, optionally, domain. | --- # External pentest - URL: https://docs.spectr-ai.eu/en/pentest-externe - Markdown: https://docs.spectr-ai.eu/en/pentest-externe.md - Language: en - Section: External pentest - Type: Explanation (explanation) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Test an application from the Internet: prove control of the domain, write the Guidance, prepare and launch the pentest, understand what happens during the test, follow its activity up to the report. The external pentest tests an application reachable from the Internet. The scope is the list of authorised HTTPS URLs under the verified domain, each tested as an exact URL over IPv4: nothing is added by discovery, neither subdomain, nor port, nor IP address. Five pages cover the journey: domain ownership proof, the Guidance, the launch, what happens during the test and the follow-up. Results are described in the [Results](https://docs.spectr-ai.eu/en/resultats) section. > [!NOTE] > The platform enforces network confinement in addition to the agents' instructions: a destination outside the scope is refused before being contacted. The exclusions you write (paths, hosts) are test instructions; they are not yet a network block for external scans. --- # Verify the domain - URL: https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine - Markdown: https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine.md - Language: en - Section: External pentest - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Prove that you control an application's domain through an HTTPS file or a DNS TXT record, understand the time limits and resolve verification failures. No external pentest launches without proof that you control the target's domain. Two methods are offered; one is enough. ## Choose a method | Method | Where to publish | When to prefer it | |---|---|---| | HTTPS file | On the exact origin of the application, at the indicated location | You deploy the application or its web server | | DNS TXT record | In the DNS zone of the parent domain | You manage the DNS but not the server, or the application refuses static files | ## Verify by HTTPS file 1. In the target page, choose file verification. 2. Copy the code and publish it at the indicated location, on the exact origin (`https://app.exemple.fr/…`), as a direct response. 3. Run the verification. The verification refuses redirections and private IP addresses, and resolves the name before and after reading the file. A file served behind a redirection (for example from `http` to `https`, or to `www`) is not accepted: publish it on the exact origin of the target. ## Verify by DNS TXT 1. Choose verification by TXT record. 2. Add the dedicated record (name and value provided) in the DNS zone of the parent domain. 3. Wait for propagation, then run the verification. The verification requires two concordant resolvers. If your zone is served by several providers, publish the record on all of them. ## Time limits | Item | Duration | |---|---| | Verification code | 72 hours. Afterwards, generate a new code and publish it. | | Accepted proof | 90 days. A notification warns you 7 days before expiry. | | Check at launch | 5 minutes. At launch time, SpectrAI rechecks the proof; this check must be fresh. | > [!WARNING] > An expired proof blocks any new launch, including a scheduled pentest, which is then paused with a notification. Renew the proof, then launch again. ## Resolve a failure | Message | What to do | | --- | --- | | Expired code | Generate a new code, publish it and run the verification again. | | Redirection detected (file) | Serve the file on the exact origin, without redirection. | | Resolvers disagree (DNS) | Wait for propagation to finish or check that all your DNS servers publish the record. | | Private address | The target must respond on a public IPv4 address. | | Proof invalidated | A proof can stop being valid (domain change, expiry). Create a new code to resume the journey. | ## After verification The Guidance becomes available. You can also order an evaluation from the application's page. The proof only covers the verified domain: another application is another target, with its own proof. --- # Write the Guidance - URL: https://docs.spectr-ai.eu/en/pentest-externe/guidance - Markdown: https://docs.spectr-ai.eu/en/pentest-externe/guidance.md - Language: en - Section: External pentest - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Give the agents the context of an application: attack surface, priorities, strategy and prohibited techniques, evidence requirements and stop conditions, OpenAPI or Postman documents and test accounts. The Guidance is the reusable context of a target. Every pentest starts from its active version; a good Guidance gives better-targeted tests and more useful findings. ## Prerequisites - The target's domain is verified: the Guidance stays locked until then. - Your role allows editing the target (administrator or member). ## The fields | Section | Fields | What they expect | |---|---|---| | Attack surface | Surface context, Out-of-scope elements | The parts of the application and APIs that matter (authentication, role-based areas, uploads, integrations, webhooks), and what must be left alone. | | Priorities | Priority objectives, Business context | What you want tested first and what has the most impact for you (customer data, payment, administration). | | Attack strategy | Vulnerability classes, Test instructions, Prohibited techniques | The families to look for (access control, injection, business logic…), useful instructions, and what the agents must not do (denial of service, data deletion, sending real messages or payments, accessing third-party services outside the scope). | | Validation | Evidence requirements, Stop conditions | What counts as a demonstrated weakness in your context, and the situations where the test must stop. | Starter templates (SaaS, e-commerce, API, public website) prefill these fields; adapt them. No field may stay empty or contain only spaces. ## API documents Attach your OpenAPI, Swagger or Postman descriptions and choose which ones to include in the next Guidance version. They are private, canonicalised on import and versioned with the Guidance. They help the agents cover the APIs; they can never widen the verified URLs: a path that points outside the authorised scope is ignored. Deleting a document does not change Guidance versions already published. ## Test accounts If the application requires authentication, provide, when preparing the pentest, dedicated test accounts with the roles you want exercised. They are encrypted at rest, materialised just before the run, redacted from the evidence and purged afterwards. > [!WARNING] > During the run, test accounts are readable in clear text by the test engine and by the language model that drives it. Never use real accounts or accounts reused elsewhere; create dedicated, revocable accounts on a test environment. Scheduled (recurring) pentests receive no test accounts. ## Exclusions and guardrails The Guidance's "out-of-scope elements", the target's explicit exclusions and the excluded paths in a pentest's guardrails are instructions given to the agents; they are not a network policy. For a strictly bounded scope, the external pentest stays limited to the authorised URLs and the internal scan to the [mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions). See also [During the test](https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test). ## Publishing Publish the Guidance to make it active. Published versions are kept; a pentest already launched keeps the version it started with. A scheduled pentest pauses if the Guidance goes missing. ## Tips - Describe the roles and what each one must or must not be able to do: that is the raw material of access control findings. - Name the high-impact flows (payment, data export, administration). - State the environment: an isolated staging environment avoids side effects on your real data. --- # Launch a pentest - URL: https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest - Markdown: https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest.md - Language: en - Section: External pentest - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Prepare a pentest on a verified target: choose and order the authorised URLs, provide test accounts, set the guardrails, accept the five attestations, launch, and understand what is deducted. ## Prerequisites - A target with a valid ownership proof and an active Guidance. - An available evaluation (one-off pentest or annual programme), or a retest batch for a retest. - The administrator or member role in the client space. ## The target's scope The target page lists the authorised **URLs and subdomains**: the exact URL registered, plus the HTTPS URLs you add under the verified domain. It also accepts **explicit exclusions**: HTTPS paths or hosts that must stay out of the pentest. Nothing is added to the scope by discovery during the test. ## Preparing 1. In **Pentests**, choose **Prepare a pentest**, then the target. 2. Choose and order the authorised URLs: the order states your priorities. 3. Provide dedicated test accounts if needed (see [Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance)). 4. Set the **guardrails** if you wish: excluded paths (a test instruction, with no network block), maximum requested rate (1 to 50 requests per second, with no network guarantee), careful mode for production (read operations and test data preferred; changes remain possible), and the start window (days, hours, time zone), the only limit enforced by the platform. 5. Check the Guidance that will be used: it is the target's active version. The draft is kept: you can come back to complete it. ## Attesting the authorisation Before the launch, you attest, on behalf of your organisation: 1. that you are entitled to commit it and to authorise this test; 2. that it owns the addresses tested or holds the written and prior authorisation of their owner, valid for the whole duration of the test; 3. that, where necessary, the agreement of the third parties concerned (host, cloud or SaaS provider, CDN, web application firewall) has been obtained and their testing rules are respected; 4. that you understand the test may create or modify test data, trigger security alerts or temporarily slow the application down, and that recent backups exist; 5. that it answers for the accuracy of this authorisation, will provide written proof of it on request and accepts that the test be suspended at any time. > [!IMPORTANT] > This attestation shown at launch does not replace a separate signed legal authorisation between you and the owner of the application. Keep that authorisation on your side. ## Launching At launch, SpectrAI rechecks in the database the tenant, the role, the quota, the target, the freshness of the proof (under 5 minutes), the Guidance, the URLs and the state of the pentest, then queues the mission. An available evaluation is deducted at that moment; a valid retest deducts none. The platform runs pentests one after the other: yours may wait its turn. The pentest page shows its phase. ## What is deducted, what is returned | Situation | Effect on the evaluation | |---|---| | Launch of a full pentest | One evaluation is consumed | | Launch of a correction retest | No evaluation; the retest batch is used | | Cancellation before the effective start | The evaluation is returned | | Failure for a platform cause, without a published report or possible resume | The evaluation is returned | | Report published | The evaluation is consumed | | Relay loss during an internal scan | Nothing is returned: the relaunch is covered | ## Scheduled pentests From the target page, you can schedule a recurring pentest, every month or every quarter, with its level, its scope and its first launch date, accepting the authorisation for every launch of the schedule. An evaluation is deducted at each launch; a reminder is sent 3 days before. The schedule pauses, with a notification, if no evaluation is available, if the ownership proof has expired, if the Guidance is missing or if the authorisation is no longer valid. Scheduled pentests receive no test accounts. ## After the launch What happens on your application is described in [During the test](https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test); the progress in [Follow the activity](https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite). --- # During the test - URL: https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test - Markdown: https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test.md - Language: en - Section: External pentest - Type: Explanation (explanation) - Audience: Technical readers (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > What happens on your application during a SpectrAI pentest: real traffic, test data, alerts, firewalls and CDNs, the recommended environment, prohibited techniques and what the guardrails do or do not guarantee. ## Real traffic on your application The agents send real HTTP(S) requests to the authorised URLs, with the test accounts provided: navigation, forms, APIs, chains of actions. A test may therefore: - create or modify test data (accounts, records, files); - trigger the alerts of your security tools and fill your logs; - temporarily slow the application down. That is the subject of the attestation accepted at launch, and the reason recent backups must exist. ## Choosing the environment An isolated staging environment, filled with test data, is recommended: it avoids side effects on your real data and your customers. If you test production, enable the **careful mode** in the pentest's guardrails (read operations and test data preferred; changes remain possible) and keep flows that send real messages or payments out of the test by placing them in the exclusions and in the Guidance's prohibited techniques. ## Web application firewall, CDN and rate limiting Upstream protections (web application firewall, CDN, anti-bot, rate limiting) see test traffic as attack traffic. They may block the agents, and the report then only covers what was reached. Before launching: - obtain the agreement of the third parties concerned and respect their testing rules (one of the points of the attestation); - if your application filters by IP address or firewall rule, write to us from the [contact page](https://spectr-ai.eu/en/contact?request=pentest) before the launch to agree on the passage; - state the protections in place in the Guidance: the agents take them into account. The **maximum requested rate** (1 to 50 requests per second) is a test instruction; it is not guaranteed at the network level. ## Prohibited techniques The Guidance carries a list of prohibited techniques, prefilled with: denial of service, data deletion, sending real messages or payments, accessing third-party services outside the scope. Complete it for your context. The agents respect it as an instruction; the network confinement remains that of the authorised scope. ## What the platform bounds | Element | Nature | |---|---| | Scope | The authorised URLs externally, the mandate internally: a destination outside the scope is refused before being contacted. | | Start window | Enforced by the platform: the pentest only starts within the chosen days and hours. | | Duration and consumption | Internal limits managed by SpectrAI; the pentest page shows the latest end time. | | Excluded paths, rate, careful mode | Test instructions, with no network block. | ## Test accounts during the run Test accounts travel in clear text through the test engine and the model that drives it during the run, then are redacted from the evidence and purged. Revoke them after the test. ## Stopping a test You can cancel a pentest at any time from its page; the evaluation is returned only if it had not yet effectively started. An internal site can also revoke its mandate, which stops the tests running on that site without publishing their results. ## What SpectrAI does not do - No public list of source IP addresses is provided: agree on the passage with us if you filter by address. - No promise of exhaustive coverage or absence of false positives: only demonstrated weaknesses are published, and a retest does not verify a fix. --- # Follow the activity - URL: https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite - Markdown: https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite.md - Language: en - Section: External pentest - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Read the page of a running pentest: the four phases, the duration and latest end time, the test plan, the surfaces tested, the last activity, cancelling and resuming. ## What the pentest page shows During the run, the **Pentest progress** page refreshes every 15 seconds and shows: | Element | Content | |---|---| | Phases | Preparation, Scope analysis, Testing, Report writing. They only move forward; the current phase is detailed in one sentence. | | Right now | The current activity: preparing the environment, reading the scope, active tests, planning, coordinating parallel checks, documenting, wrapping up. | | Test plan | The number of checks completed out of the total, and those in progress. The plan grows during the pentest: the total may increase. | | Duration and end | The elapsed time and the time by which the tests end at the latest. | | Surfaces tested | The surfaces already handled and the most recent ones. | | Last activity | The time elapsed since the last recorded activity. | This summary is all the customer follow-up receives. The model used, the consumption and the execution traces stay internal to SpectrAI. ## No activity for a while Some checks are long. When no activity has been recorded for several minutes, the page says so. If nothing changes before the latest end time, the pentest is closed automatically and its verified results are published. ## Notifications You are notified in the application and, according to your preferences, by e-mail when the report is published or when the pentest is interrupted. The pentest page also announces the publication as soon as it happens. See [Notifications](https://docs.spectr-ai.eu/en/compte-et-securite/notifications). ## Cancelling You can cancel a running pentest. If it had not yet effectively started, the evaluation is returned. If it had started, it is consumed. ## Resuming When an attempt is interrupted for an eligible cause (for example a platform incident or a relay loss), the page offers **Resume the pentest**. The resume creates a new attempt on the same mission, without deducting a new evaluation. If no resume is possible and no report has been published, the evaluation is returned. Only the results of the last successful, complete and consistent attempt are shown to you: an interrupted attempt publishes nothing. ## Duration and limits The duration depends on the application. Consumption and duration limits are managed by SpectrAI; they are internal guardrails, not a promise of exhaustive coverage. Pentests run one after the other: a queued pentest shows its waiting phase. ## After the end At the end of the attempt, the evidence, scope and consistency checks run, then the report is published automatically, even without any finding. See [The report](https://docs.spectr-ai.eu/en/resultats/rapport). --- # Internal scans - URL: https://docs.spectr-ai.eu/en/scans-internes - Markdown: https://docs.spectr-ai.eu/en/scans-internes.md - Language: en - Section: Internal scans - Type: Explanation (explanation) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Test private applications from inside your network: the relay, its installation, the mandate that bounds the tests and the launch of an internal scan up to the automatic report. An internal scan tests an application that only your network reaches. You declare a site (your private address ranges), install an agent on a machine of that site, it appears in **Sites and agents**, you grant a testing authorisation (the mandate: application, optional subdomains, HTTPS ports, end date), then you launch. The report arrives automatically, as for an external pentest. > [!NOTE] > Internal scans are enabled by SpectrAI on your space, after agreement on the scope and the relay deployment. Until then, the "Internal application" choice stays unavailable when creating a target: write to us from the [contact page](https://spectr-ai.eu/en/contact?request=internal). > [!IMPORTANT] > The relay must stay available for the whole duration of the test. After a relay loss, partial results are kept and the resume is explicit. --- # The relay - URL: https://docs.spectr-ai.eu/en/scans-internes/relais - Markdown: https://docs.spectr-ai.eu/en/scans-internes/relais.md - Language: en - Section: Internal scans - Type: Explanation (explanation) - Audience: Technical readers (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > How the internal scan relay works: an agent installed on your side, a signed image, a mandate enforced at the network level and destinations outside the mandate never tested. ## The problem Part of your applications is not exposed on the Internet: intranet, business tools, administration consoles, machine-to-machine services. An external pentest does not reach them. The relay lets you test them from inside your network, with the same engine, the same evidence and the same report. ## The parts | Part | Role | |---|---| | Site | An internal network you declare in **Sites and agents**, with 1 to 16 private IPv4 ranges (CIDR within `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` or `100.64.0.0/10`). Declaring them does not authorise scanning them. IPv6 is disabled. | | Agent | A Docker container installed on a machine of the site. It opens no port: it connects only towards SpectrAI, over outbound HTTPS, directly or through the company proxy. | | Mandate | The testing authorisation of one application through this site: hostname, subdomains included or not, HTTPS ports, validity period, revision signed by a member of your team. | | Egress relay | The SpectrAI-side component that enforces the mandate: only authorised destinations are relayed. | ## The trust model - The agent image is signed and distributed from `relay.spectr-ai.eu`. The installer checks its digest and signature before starting the agent. - An agent is **ready** when it has connected to SpectrAI within the last 90 seconds. Without a ready agent, no test goes through the site. - The mandate is a **network policy**, enforced by the egress relay with DNS resolutions and addresses bounded per site. It does not rely on an instruction given to the test agents. - Only the application of the mandate is tested. A destination outside the mandate discovered during the test becomes a suggestion to approve, never a test. - The mandate has an end date. Without a current authorisation, no test can be launched on the site. It can also be revoked at any time. ## What the agent sees The agent relays HTTP(S) traffic to the destinations of the mandate. The test accounts provided for the scan travel, during the run, in clear text through the test engine and the model that drives it, as for an external pentest: use dedicated, revocable accounts. ## Availability during the test The relay must stay available for the whole duration of the test: machine on, container running, outbound connection to SpectrAI. If the agent disconnects: - results already collected are kept; - the pentest stops and offers an explicit resume once the agent is back; - losing the relay does not return the evaluation: the relaunch is covered. ## What is not covered - An internal scan targets the web application named in the mandate; it does not cover a sweep of the declared ranges, bare IP addresses or non-web protocols. - The scope of an internal scan is its mandate, not "the whole network". See also [Install the relay](https://docs.spectr-ai.eu/en/scans-internes/installer-le-relais) and [The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions). --- # Install the relay - URL: https://docs.spectr-ai.eu/en/scans-internes/installer-le-relais - Markdown: https://docs.spectr-ai.eu/en/scans-internes/installer-le-relais.md - Language: en - Section: Internal scans - Type: How-to guide (how-to) - Audience: Technical readers (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Declare a site, install the Docker agent on a machine of the network with the commands the application provides, see it appear ready, check reachability and keep it available during tests. ## Prerequisites - Internal scans enabled by SpectrAI on your space (see [Internal scans](https://docs.spectr-ai.eu/en/scans-internes)). - A session verified by a second factor: adding a site, an agent or an authorisation requires it. - Docker on a machine of the site: Linux, macOS or Windows with Docker Desktop. The machine stays on during tests. - Outbound HTTPS access to the SpectrAI gateway, direct or through the company proxy. The agent opens no inbound port. - Network access from that machine to the applications to test. ## 1. Declare the site 1. Open **Sites and agents** in the client space. 2. Choose **Add a site**, name it (for example "Lyon head office") and declare its private IPv4 ranges: 1 to 16 CIDR ranges within `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` or `100.64.0.0/10`. Declaring ranges does not authorise scanning them: the mandate authorises an application. ## 2. Enrol an agent 1. In the site, choose **Add an agent**, then **Generate the token and the commands**. 2. Copy the commands shown right away: the single-use token is shown only once and expires after 15 minutes. 3. Run the commands on the machine of the site. The installer downloads the signed image, checks its digest and signature, asks you for the enrolment code, starts the agent and sets it to restart with the machine. 4. At the end, the installer shows the agent's identifier: the one that appears in the site's agent list. > [!WARNING] > Paste the enrolment code only when the installer asks for it. It must appear neither in the command, nor in the terminal history, nor in Docker variables. If it has expired or has already been used, generate a new one. Behind a company proxy, add `--proxy http://proxy:port` at the end of the command. On Linux, prefix it with `sudo` if your account has no access to Docker. ## 3. Check that the agent is ready The agent appears in the site's list without reloading the page, ready in under a minute. It is **ready** when it has connected within the last 90 seconds; its row shows its enrolment date and last contact. If no agent is connected, check that the machine is on and the container is running, read its logs, or enrol a new agent. ## 4. Authorise testing Then grant the mandate: see [The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions). Without a current mandate, no test goes through the site. ## 5. Check reachability Once an agent is ready and a mandate is current, **Check reachability** asks the agent to open a single TCP connection to the host and port of an address covered by the mandate. Nothing is sent to the application and no test is launched. The result (reachable, unreachable, refused, expired) and its explanation stay in the site's history. ## Keeping the relay up - Keep the machine on and the container running for the whole duration of a scan. - If the agent disconnects during a scan, partial results are kept and the resume is offered once the agent is back. - Several agents can be enrolled on the same site; the list shows how many are ready. ## Removing an agent Stop and remove the container on the machine. An agent that no longer connects is no longer ready; without a ready agent, no test goes through the site. --- # The testing mandate - URL: https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions - Markdown: https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions.md - Language: en - Section: Internal scans - Type: How-to guide (how-to) - Audience: Technical readers (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Define the testing authorisation of an internal site: the application, subdomains, HTTPS ports and duration. How the mandate is enforced, what it does not allow, how to change or revoke it. The mandate is the testing authorisation of one application through a site. It is enforced as a network policy: what is not in it is never tested. ## Composing the mandate 1. In the site, choose **Authorise testing**. 2. Enter the **application hostname**, without scheme or path (for example `intranet.example.local`). IP addresses are not accepted. 3. Choose whether **subdomains** are included: the authorisation then also covers every name under that host. 4. Specify the **HTTPS ports** to authorise, separated by commas (for example `443, 8443`). 5. Set the **validity period**, from 1 to 366 days. 6. Confirm. The revision is recorded with its signer and date. Every change creates a new revision; the current revision is shown with "authorised by" and its date. ## What the mandate guarantees | Rule | Effect | |---|---| | Outside the mandate, never tested | Only the application of the mandate is tested. A destination outside that scope discovered during the test becomes a suggestion to approve, never a test. | | Content widens nothing | A link, a redirect or a response met during the scan never authorises a destination outside the mandate. | | Bounded DNS and addresses | Resolutions and reached addresses are limited to the site. | | End date | Without a current authorisation, no test can be launched. A notification warns before expiry. | ## Exclusions The mandate is an allow list: it has no exclusion list. To keep part of the application out, use the target's explicit exclusions (HTTPS paths or hosts to leave out of the pentest) and the excluded paths in the pentest's guardrails. These are test instructions; the network confinement remains that of the mandate. See [During the test](https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test). ## Changing **Edit the authorisation** creates a new revision that replaces the current authorisation for the next tests. Tests already launched keep the revision they started with. ## Revoking **Revoke the mandate** ends the current authorisation immediately: tests running on the site are stopped at the engine's next check and their results are not published; any new launch, draft or additional URL is refused until a new authorisation. Reports already published stay unchanged. ## What the mandate does not allow - Authorising "the whole network" or an address range: the mandate names an application and its optional subdomains. - Testing bare IP addresses or non-web protocols. - Bypassing the ownership proof of an external application: an internal scan targets private services. ## Additional URLs within the sixty-day window After an internal report, destinations discovered within the mandate may be offered to you for a targeted test, within sixty days. Approving them consumes a share of the allowance reserved for these additions, never a retest batch nor the second annual evaluation. A hostname the authorisation excludes cannot become an addition. Once the window closes, the suggestions expire and going further requires a new order. --- # Launch an internal scan - URL: https://docs.spectr-ai.eu/en/scans-internes/lancer-un-scan-interne - Markdown: https://docs.spectr-ai.eu/en/scans-internes/lancer-un-scan-interne.md - Language: en - Section: Internal scans - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Create an internal application attached to a site whose agent is ready and whose mandate is current, prepare and launch the pentest, follow the scan, handle a relay disconnection and receive the report. ## Prerequisites - Internal scans enabled by SpectrAI on your space. - A site with at least one **ready** agent (connected within the last 90 seconds). - A current mandate covering the application to test. - An available evaluation. ## Launching 1. In **Targets**, add a target and choose **Internal application (via agent)**, then the site. The URL must be covered by the site's mandate (host, optional subdomains, ports). 2. Write and publish its Guidance (see [Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance)). 3. In **Pentests**, prepare the pentest on this target. The chosen URLs are the starting points; an internal application pentest contains only URLs of the same site, covered by its authorisation. 4. Provide test accounts if needed, accept the authorisation attestation and launch. The launch checks that the agent is ready and that the mandate covers the URLs. An available evaluation is deducted. ## During the scan The pentest page shows the phases, the duration, the latest end time, the surfaces tested and the last activity, as for an external pentest (see [Follow the activity](https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite)). Keep the agent connected. ## If the relay disconnects - The pentest stops and results already collected are kept. - Restore the agent (machine, container, outbound network), then choose **Resume the pentest**. - The resume creates a new attempt on the same mission; losing the relay does not return the evaluation. ## The report At the end, the evidence, scope and consistency checks run and the report is published automatically, exportable as PDF. Findings and attack paths can be read in the application. See [The report](https://docs.spectr-ai.eu/en/resultats/rapport). ## Retests and additional URLs As for an external pentest, two retest batches are included within sixty days of the report. Destinations discovered within the mandate may also be offered for a targeted test within that window (see [The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions)). --- # Results - URL: https://docs.spectr-ai.eu/en/resultats - Markdown: https://docs.spectr-ai.eu/en/resultats.md - Language: en - Section: Results - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > What a completed pentest produces: findings with their evidence, attack paths, a frozen report, two correction retest batches and a NIS2 evidence index. A completed pentest publishes its results automatically: the demonstrated findings and their evidence, the derived attack paths, then the final report, frozen and exportable. Two correction retest batches are included within sixty days. The NIS2 index organises the evidence according to selected controls, without claiming to be an attestation. > [!NOTE] > What has not been demonstrated is not published. A report without any finding is a normal report: it attests that no weakness was proven within the perimeter and the time of the test, not that the application is secure. --- # Findings and evidence - URL: https://docs.spectr-ai.eu/en/resultats/findings-et-preuves - Markdown: https://docs.spectr-ai.eu/en/resultats/findings-et-preuves.md - Language: en - Section: Results - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Read a published finding: CVSS severity, CWE classification, description, impact, recommendation and redacted HTTP evidence. Track its fix in the application. ## What a finding is A finding is a weakness demonstrated during the pentest. It is only published if evidence accompanies it and if it has passed the attempt's automatic checks of perimeter, redaction and consistency. In the application, the **Findings** page lists them for the client space; a pentest's page shows its own. ## The fields of a finding | Field | Content | |---|---| | Severity | The level (critical, high, medium, low, informational) and the CVSS score. | | Classification | The CWE of the weakness. | | Description | What was demonstrated, where, and how. | | Impact | What an attacker would obtain. | | Recommendation | The remediation leads. | | Evidence | The redacted HTTP requests and responses, the proof of concept or the artefacts. | | Confidence | The assessment of the reliability of the demonstration. | | Target and date | The exact authorised target and the detection date. | The same finding found again in several pentests of the same target is presented with its occurrences. A finding absent from the latest report is flagged as such. ## The evidence The evidence is redacted before being persisted: secrets, tokens and test accounts are removed from it. The requests and responses can be read in the application with a code viewer; an artefact (for example a screenshot) is attached when it exists. The raw execution traces, the internal working paths and the technical identifiers are never exposed. ## Track the fix Each finding has remediation tracking: a status, a note, an owner, a due date and, for an accepted risk, a review date (at the latest within one year). Comments and the history of actions are kept. Your role determines whether you can change this tracking or only read it. | Status | Meaning | |---|---| | To fix | The vulnerability remains to be fixed. | | Fixed | The fix is deployed. If a next pentest finds the vulnerability again, it goes back to "To fix". | | Risk accepted | The risk is knowingly assumed, with a review date. | | False positive | The evidence does not apply to your context; the reason is required. | A notification reminds you of a remediation deadline reached and of a review date reached. A finding found again after being declared fixed is flagged as reopened, with the number of times this has happened. ## Have a fix verified Prepare a retest batch from the fixed findings: see [Correction retests](https://docs.spectr-ai.eu/en/resultats/retests). The result of the counter-test appears in the finding's tracker: "the vulnerability was not reproduced" or "the vulnerability is still present". ## Export The current view of the findings exports as Markdown from the **Findings** page. The final report, for its part, exports as PDF (see [The report](https://docs.spectr-ai.eu/en/resultats/rapport)). > [!NOTE] > The CVSS and CWE mapping structures the deliverable. It replaces neither your risk analysis nor a regulatory audit. --- # Attack paths - URL: https://docs.spectr-ai.eu/en/resultats/chemins-d-attaque - Markdown: https://docs.spectr-ai.eu/en/resultats/chemins-d-attaque.md - Language: en - Section: Results - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > How SpectrAI links proven findings into attack paths, what the provenance of each step means, and why a path adds no assumption to the evidence. ## Definition An attack path is a demonstrated chain of findings: each step relies on linked evidence, and the path shows how weaknesses taken separately combine. A pentest's page presents them in **Proven attack paths**; the report includes them. ## How they are established The paths are derived from the findings and their evidence once the attempt is complete and consistent. They are a deterministic projection of the evidence: the same attempt always gives the same paths. They contain no assumed step. Each step indicates: - the finding it relies on and its linked evidence; - the exact authorised target concerned; - the attempt it comes from (the **provenance**). ## Read a path A path reads from the starting point to the impact. A pentest may produce none: "No proven attack path" means that the published findings do not combine in a demonstrated way, not that a combination is impossible. For each path, the report offers a map of the steps linked to the findings and their evidence. ## Limits of attack paths - A path does not model theoretical threats: only proven steps appear. - A path does not measure probability: it is not "more likely" than another. - Attack paths do not guarantee exhaustiveness: other combinations may exist beyond what was demonstrated. --- # The report - URL: https://docs.spectr-ai.eu/en/resultats/rapport - Markdown: https://docs.spectr-ai.eu/en/resultats/rapport.md - Language: en - Section: Results - Type: How-to guide (how-to) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > The final report of a pentest: automatic publication, content, frozen versions, PDF export, revocable share link, brand, and what it contains when no finding was proven. ## Publication The report is published automatically at the end of the attempt, after the evidence, perimeter and consistency checks. No human validation takes place. A report is published even without any finding. You are notified in the application and, depending on your preferences, by e-mail. ## Content | Part | Content | |---|---| | Executive summary | The verdict ("Action required" or "No proven exposure"), the number of proven findings, of evidence items and of paths. | | Perimeter and conditions | The exact authorised target, the Guidance used, the finalisation date, the attempt presented. | | Findings | Each finding with severity, CWE, description, impact, recommendation and evidence. | | Attack paths | The proven chains and their provenance. | | Coverage | The surfaces tested. | | NIS2 index | The evidence classified according to selected controls (see [NIS2 index](https://docs.spectr-ai.eu/en/resultats/nis2)). | | Limits | What the test does not cover, written in the report itself. | ## A frozen document Each report is a snapshot: data, brand and limits are frozen at publication. The exports re-read that same snapshot, never the raw execution artefacts. A published report does not change; a new pentest produces a new report. The **Reports** page shows the latest published report, then the history. ## Export as PDF From the report, download the PDF. It carries the same content as the online version, under the brand of the client space (SpectrAI or your partner's). ## Share through a link 1. From the report, choose **Share**. 2. Choose the duration of the link, then create it. 3. Copy the link and pass it on. The link opens this version of the report in read-only mode, without an account. It expires on the chosen date and can be revoked at any time; you can then create a new one. Shared report pages are not indexed by search engines. > [!WARNING] > A share link gives access to the evidence. Pass it on through a trusted channel and revoke it when it is no longer needed. ## Brand For a client of a white-label partner, the report carries the partner's name and logo. See [White label](https://docs.spectr-ai.eu/en/partenaires/marque-blanche). ## Report without any finding A report without any finding attests that no weakness was proven within the scope and during the test. It does not prove the absence of weakness. Without a finding there is nothing to retest; for an internal scan, the additional URLs offered within the sixty-day window remain possible. --- # Correction retests - URL: https://docs.spectr-ai.eu/en/resultats/retests - Markdown: https://docs.spectr-ai.eu/en/resultats/retests.md - Language: en - Section: Results - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Have your fixes verified with the two retest batches included within sixty days of each report: prepare a batch, launch it, read its verdict and understand its limits. ## What is included Each report entitles you to two correction retest batches, within the sixty days following its publication. A batch groups the fixed findings you want to have verified. Batches are distinct from evaluations: they never consume the second evaluation of an annual programme. There is no cap on the number of fixes in a batch. The rights of older missions follow their original contract. ## Prepare a batch 1. In the pentest page or in **Findings**, select the fixed findings. 2. Choose **Prepare a retest batch**. SpectrAI prepares a targeted test with its Guidance for each finding. 3. The preparation advances step by step and resumes without duplicates after an interruption; the progress is displayed. 4. Review the prepared drafts, then accept the launch authorisation and launch the batch. Drafts never launched can be cancelled: cancelling all the drafts of a batch frees it. Deleting a test already launched never restores the consumed right. ## Read the verdict For each finding of the batch, the fix tracker displays the dated result of the counter-test: | Verdict | Meaning | |---|---| | The vulnerability was not reproduced | The targeted test did not find the original finding again. This is an inconclusive result: it does not prove that the fix is correct. | | The vulnerability is still present | The finding was found again. The tracker flags it as reopened. | > [!IMPORTANT] > A retest publishes an inconclusive result when the finding is not found again; it does not verify the fix itself. SpectrAI issues no "fix verified" verdict. ## Time limits - Retest window: sixty days after the publication of the report. - Reminder: a notification warns you when the window closes in 7 days and an included batch remains available. - After both batches are used up or the window closes, no additional fix is tested free of charge: a new order is required. ## Retests and internal scans Batches apply in the same way to the reports of internal scans. The additional URLs proposed within the sixty-day window use a separate allowance, never a retest batch. --- # NIS2 index - URL: https://docs.spectr-ai.eu/en/resultats/nis2 - Markdown: https://docs.spectr-ai.eu/en/resultats/nis2.md - Language: en - Section: Results - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > What the NIS2 evidence index of a SpectrAI report is, the article 21 controls it organises, and why it is neither an attestation nor a certification. ## What it is Each report includes an index that classifies its evidence according to selected controls of article 21 of the NIS2 directive (cybersecurity risk management measures). For each selected control, the index indicates which evidence from the pentest relates to it: an access control finding, a configuration proof, a recommendation. ## What it is for - Quickly find, in a report, the elements that feed an internal file or a discussion with an auditor. - Give management a reading by theme, in addition to the reading by severity. - Keep, from one report to the next, the same reading grid. ## Limits of the index > [!IMPORTANT] > The NIS2 index describes a classification of the evidence. It does not attest your organisation's compliance, does not replace a regulatory audit, a qualification or a certification, and does not cover the controls that the pentest of an application cannot observe (governance, business continuity, supply chain, training). SpectrAI does not describe itself as prepared for NIS2 and issues no attestation. If your organisation is subject to NIS2, the index provides you with dated technical evidence; your compliance process remains your own. ## Where to find it In the online report and in its PDF export, in the part dedicated to compliance evidence. --- # Offers and orders - URL: https://docs.spectr-ai.eu/en/offres-et-commandes - Markdown: https://docs.spectr-ai.eu/en/offres-et-commandes.md - Language: en - Section: Offers and orders - Type: Explanation (explanation) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > The application catalogue (one-off pentest or annual programme), what each evaluation includes, how to order from the application page and how the annual programme works. An order covers one named application, its associated APIs and one agreed environment. Two services exist: the one-off pentest (one full evaluation) and the annual programme (two full evaluations over twelve months). Prices are not published on the site; they are shown at the time of ordering, in the application. > [!NOTE] > Offers prior to 17 October 2026 (quotes, mission pools) are no longer sold but remain honoured for contracts already accepted. --- # The catalogue - URL: https://docs.spectr-ai.eu/en/offres-et-commandes/catalogue - Markdown: https://docs.spectr-ai.eu/en/offres-et-commandes/catalogue.md - Language: en - Section: Offers and orders - Type: Reference (reference) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > One-off pentest or annual programme: what each evaluation includes, what distinguishes the two services, and what neither of them is. ## The two services | | One-off pentest | Annual programme | |---|---|---| | Scope | One named application, its associated APIs, one agreed environment | The same application, over twelve months | | Full evaluations | One | Two: one at the start, one around six months or on an agreed date | | Correction retests | Two batches within sixty days of the report | Two batches within sixty days of each report | | Payment | Single payment | Prepaid, or twelve fixed instalments | | Commitment | None after delivery | Twelve months, no automatic renewal | ## What each evaluation includes - scoping: scope, environment, Guidance; - AI-assisted testing within the authorised scope; - automated verification of evidence; - the frozen report, exportable as PDF; - the presentation of results; - two correction retest batches within sixty days of the report. Retest batches are distinct from evaluations: they never consume the second annual evaluation. ## Limits of the catalogue - The catalogue offers neither active monitoring nor a monthly subscription that can be cancelled at any time. - An order names one application; it does not cover a "whole network". Internal scans are enabled by SpectrAI on the client space after agreement on the scope and the relay deployment. - Bare IP addresses, Git repositories, uploaded code and CI pipelines are not covered. ## Prices Prices are not published on the site. They are displayed at the time of ordering, in the application, after confirmation of the application and the environment. A price edition is frozen in the accepted contract: a later price change never modifies a signed contract. ## For partners A partner firm orders for an identified client and application. SpectrAI invoices the partner, who sets its resale price and invoices its client. See [Partner orders](https://docs.spectr-ai.eu/en/partenaires/commandes-partenaires). --- # Ordering an evaluation - URL: https://docs.spectr-ai.eu/en/offres-et-commandes/commander - Markdown: https://docs.spectr-ai.eu/en/offres-et-commandes/commander.md - Language: en - Section: Offers and orders - Type: How-to guide (how-to) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Order a one-off pentest or an annual programme from the application page, pay by card on the hosted page, resume or cancel a payment, follow the contract, find your invoices and replace your card. ## Prerequisites - A target whose ownership proof is valid and whose Guidance is active. - The administrator role in the client space (or, for a partner, an administrator authorised for the partner rate). - A business payment card. ## 1. Choose the service From the application page (**Targets**, then the application), the **Order for this application** section offers the one-off pentest (one full evaluation, paid before the launch) or the annual programme (two full evaluations of the same application over twelve months), prepaid or in twelve instalments. The price, in euros excluding VAT per agreed application and environment, is shown here, before any payment. ## 2. Accept the scope and the terms You confirm the application and the environment, then accept the price, the scope and, for the annual programme, the twelve-month commitment and the schedule shown, as well as the [terms of use](https://spectr-ai.eu/en/conditions). The order records the version of the terms you read; an outdated version is refused: reload the page and read them again. ## 3. Pay Payment takes place on a hosted payment page, by card only, with your business identity, address and VAT number. An invoice is issued after payment. For an annual programme paid monthly, you give explicit consent to the eleven following charges; a schedule of eleven instalments is then created, without a thirteenth. ## 4. Rights open Returning to the site after payment grants nothing by itself: the payment confirmation and its reconciliation open the rights. This usually takes a few minutes; **Refresh the payment** rereads the state. Before a launch, a contract whose last check is older than ten minutes is reread from the payment provider so as not to block a paid customer. ## Following the contract The same section lists your contracts with their state: payment to complete, active, unpaid instalment, verification needed, completed, cancelled. For an annual contract, it shows the end date and the agreed date of the second evaluation. ## Resuming or cancelling a payment If the payment page expired or the payment failed, **Resume the payment** reopens the same attempt, without a duplicate. **Cancel before payment** withdraws an unpaid order. A pending order abandoned for thirty days is cancelled on its own. ## Invoices Every invoice or instalment of the contract is listed in the application's order section, with its link. An instalment that remains to be paid opens from that list to confirm the payment with your bank or choose another card; rights are only extended once it is paid. Invoices stay accessible even if a card synchronisation fails or if new purchases are suspended. ## Replacing a card (monthly programme) **Change the card for the instalments** opens a dedicated portal, restricted to cards. It allows neither changing the offer nor terminating the contract. After replacement, the schedule's payment method is updated without proration, new invoice, price or date change. ## Unpaid instalments An unpaid instalment leaves the rights open for a grace period of a few days, then the contract enters verification: launches are suspended until it is settled. A dispute or a refund also places the contract in verification; a SpectrAI operator resolves it with a justification. ## Refunds SpectrAI performs no automatic refund from the application. An evaluation is returned to the contract (see [Launch a pentest](https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest)) when a pentest is cancelled before its start or fails for a platform cause without a report; this is not a refund. > [!NOTE] > A payment never replaces the technical checks (ownership proof, Guidance, authorisation) nor bypasses them. --- # The annual programme - URL: https://docs.spectr-ai.eu/en/offres-et-commandes/programme-annuel - Markdown: https://docs.spectr-ai.eu/en/offres-et-commandes/programme-annuel.md - Language: en - Section: Offers and orders - Type: Explanation (explanation) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Two full evaluations of the same application over twelve months: when to launch the second one, how to adjust its agreed date, what happens at the end of the contract and how it differs from active monitoring. ## Principle The annual programme is a twelve-month service commitment on one named application: one full evaluation at the start, a second one around six months or on an agreed date. Each report entitles you to two retest batches within sixty days. There is no automatic renewal. ## Payment Prepaid, or twelve fixed instalments. The first charge precedes the first launch. With instalments, the schedule counts eleven instalments after the first one, never a thirteenth. ## The second evaluation The second evaluation becomes available on the agreed date. The application balance and the partner portfolio show it; a notification informs you when it is available. A SpectrAI operator can adjust the agreed date at your request, with a justification and an audit trail. ## One programme per application A second annual programme is refused on an application whose programme is active, unpaid or in verification. ## End of the contract A prepaid contract ends at the end of its term, or when its two evaluations have been consumed and paid. The retest batches of reports already published remain usable within their sixty-day window, even after the end of the contract. ## Limits of the programme - The programme includes neither active monitoring nor permanent testing. - The commitment is twelve months: the programme cannot be cancelled from one month to the next. - Scheduled pentests (monthly or quarterly) debit one evaluation at each launch; an annual programme provides only two. --- # Partners - URL: https://docs.spectr-ai.eu/en/partenaires - Markdown: https://docs.spectr-ai.eu/en/partenaires.md - Language: en - Section: Partners - Type: Explanation (explanation) - Audience: Partners (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > For security firms, MSSPs, MSPs and managed service providers: the console, client spaces, roles, white label and orders placed for a client. A partner firm manages several client spaces from a console, invites its team there with roles, delivers reports under its own brand and orders evaluations for its clients. SpectrAI invoices the partner; the partner sets its resale price and invoices its client. > [!NOTE] > Report publication is autonomous for a partner's clients as it is for direct clients: there is no validation policy to choose, and nobody holds back a report before its delivery. --- # Console and client spaces - URL: https://docs.spectr-ai.eu/en/partenaires/console - Markdown: https://docs.spectr-ai.eu/en/partenaires/console.md - Language: en - Section: Partners - Type: Explanation (explanation) - Audience: Partners (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > How a partner works in SpectrAI: the console, how to enter a client space and return to the console, the admin, analyst and viewer roles, and what each one sees. ## Two places to work A partner works either in its **console** or in a **client space**, never in both at once. | Place | What happens there | |---|---| | Console | **Overview** (next actions, activity), **Clients** (portfolio, assignments, orders, history), **Missions** (assigned rights), and at the bottom **Agency settings** (team, white label). | | Client space | The same product as for a direct customer: targets, pentests, findings, reports, sites and agents, the client's team, audit log. | **Enter the space** opens a client's space; a banner shows the current client. **Back to the console** leaves it. Switching client is done from the space selector or the portfolio. ## Agency roles | Role | Scope | |---|---| | Admin | Manages clients, the team, white label and missions. Accesses every client. The agency always keeps at least one administrator. | | Analyst | Works in the clients assigned to them: targets, pentests, reports. | | Viewer | Reads the clients assigned to them, without launching or changing anything. | You cannot change your own role: ask another administrator. The database enforces rights, and the interface applies the same rules: the context chosen in the browser grants nothing. ## Second factor Adding a site, an agent or a testing authorisation in a client space requires a session verified by a second factor. The second factor is offered once to administrators; it is never imposed. See [Sign-in and second factor](https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur). ## What the end customer sees A partner's end customer sees its space under the partner's brand. It sees neither wholesale prices, nor supplier invoices, nor the partner's other clients. It cannot order on the partner's behalf. See [Client spaces](https://docs.spectr-ai.eu/en/partenaires/espaces-clients), [White label](https://docs.spectr-ai.eu/en/partenaires/marque-blanche) and [Partner orders](https://docs.spectr-ai.eu/en/partenaires/commandes-partenaires). --- # Client spaces - URL: https://docs.spectr-ai.eu/en/partenaires/espaces-clients - Markdown: https://docs.spectr-ai.eu/en/partenaires/espaces-clients.md - Language: en - Section: Partners - Type: How-to guide (how-to) - Audience: Partners (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Create a client space, invite the client and its team, assign analysts, prepare the first target and follow what is blocking, from the partner's console. ## Prerequisites - The administrator role in the agency. ## Creating a client space 1. In the console, open **Clients** then **Add a client**. 2. Name the space and fill in the client's details. 3. The space appears in the portfolio with its state: target to add, ownership proof to complete, no pentest launched, operational. ## Inviting people - For the partner's team, invite a teammate from **Agency settings** with their role (administrator, analyst, viewer). Analysts and viewers only see the clients you assign to them. - For the client, the **Team** tab of the client space invites the client's contacts. Each of them only accesses this space, never another client's. An invitation expires on the date shown. ## Assigning analysts In the client's record, assign the analysts and viewers who need access. An administrator sees all clients without assignment. ## Preparing the first target Enter the space, add the target, start the ownership proof and write the Guidance, as a direct client would (see [Your first pentest](https://docs.spectr-ai.eu/en/demarrer/premier-pentest)). The client can also do it themselves from their space. ## Following what is blocking The **Overview** lists the clients that need an action before the next pentest: ownership proof to complete, no pentest launched, finding to review. The portfolio shows for each client its targets, pentests, findings and its last activity. ## Audit log Each client space has its own audit log, with filters by period, author and object, and a bounded export. Sensitive actions (test authorisation, report sharing, role change) are traced there. --- # White label - URL: https://docs.spectr-ai.eu/en/partenaires/marque-blanche - Markdown: https://docs.spectr-ai.eu/en/partenaires/marque-blanche.md - Language: en - Section: Partners - Type: How-to guide (how-to) - Audience: Partners (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Deliver SpectrAI under your brand: identity and logo, e-mails, preview, custom domain and e-mail sender. What is automatic and what requires activation. ## What the white label covers | Element | Behaviour | |---|---| | Name and logo | Displayed in the client space, online reports and PDFs. | | Accent colour | Applied to the client space with a computed contrast so it stays readable. | | E-mails | Client notifications carry the brand name. Without a custom name, the firm's registered name is used. | | Custom domain | A subdomain of your choice for the client space, after activation by SpectrAI. | The SpectrAI identity does not appear in a white-labelled client's space; links to the SpectrAI public site are not offered there. ## Configuring the identity 1. In the console, open **Agency settings** then **White label** (also accessible from onboarding). 2. Fill in the name, upload the logo and choose the colour. 3. Check the preview, then save. The **E-mails** tab shows a preview of the messages sent to clients. ## Custom domain Activating a domain is manual and done with SpectrAI: 1. Preferably enter a subdomain (for example `portal.your-firm.com`) in the **Domain** tab, and create a CNAME record pointing to `spectr-ai.eu`. 2. SpectrAI verifies the DNS, adds the domain to its configuration and puts it into service with a valid certificate. 3. Once the domain is active, your clients sign in through this domain. On this domain, the application manifest and icons carry your brand, and the SpectrAI public site is never served. 4. To remove a domain, first ask for its removal from service, then delete the DNS, to prevent a third party from taking over the subdomain. > [!NOTE] > No real partner domain has yet been exercised end to end. Plan a joint check before announcing the domain to your clients. ## E-mail sender Sending e-mails from your own domain requires a sending domain verified and linked to your agency by SpectrAI. Without it, messages are sent from the platform sender, under your brand name. The sending address is not a monitored mailbox; contact requests are answered to their author. --- # Partner orders - URL: https://docs.spectr-ai.eu/en/partenaires/commandes-partenaires - Markdown: https://docs.spectr-ai.eu/en/partenaires/commandes-partenaires.md - Language: en - Section: Partners - Type: How-to guide (how-to) - Audience: Partners (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Order an evaluation for an identified client from the console, follow the evaluations available in the portfolio, understand invoicing between SpectrAI, the partner and the end customer. ## Principle The partner orders for an identified client and application. SpectrAI invoices the partner at the partner rate; the partner freely sets its resale price and invoices its client. The end customer sees neither the partner rate nor the supplier invoices. No minimum, tier or platform fee applies. ## Prerequisites - The administrator role in the agency, with authorisation for the partner rate. - A client target whose ownership proof is valid and whose Guidance is active. ## Ordering 1. Enter the client's space and open the application page. 2. Choose the one-off pentest or the annual programme. The partner rate is displayed here, server-side, only to authorised administrators. 3. Accept the terms and pay by card on the hosted page, in the partner's name. See [Ordering an evaluation](https://docs.spectr-ai.eu/en/offres-et-commandes/commander) for payment, instalments and resuming. ## Following the portfolio The console portfolio shows, per client and per application, the evaluations available: an application without a contract offers an order; a contract that is pending, unpaid or whose second evaluation is still locked offers its follow-up rather than a new purchase. A sales pause does not hide contracts already accepted. ## Historical missions Rights acquired before the application catalogue (mission pools) remain usable and appear in **Missions**. They are no longer sold. ## What the end customer can do An authenticated end customer can launch the pentests its contract covers, read its results and prepare its retests. It can neither buy on behalf of the partner nor read another space. --- # Account and security - URL: https://docs.spectr-ai.eu/en/compte-et-securite - Markdown: https://docs.spectr-ai.eu/en/compte-et-securite.md - Language: en - Section: Account and security - Type: Explanation (explanation) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Sign-in and second factor, team and roles of a client space, notifications in the application and by e-mail, and what SpectrAI does with your data. This section describes sign-in (password then second factor), the management of a client space's team and roles, notifications and their preferences, and data processing: what is kept, what is redacted, what is purged, and what SpectrAI does not promise. --- # Sign-in and second factor - URL: https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur - Markdown: https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur.md - Language: en - Section: Account and security - Type: How-to guide (how-to) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Sign in with your password then a second factor (authenticator app or e-mail code), enable or remove a factor, reset your password, and what is required depending on the role. ## Signing in 1. Enter your e-mail and your password. 2. If a second factor is enrolled on your account, choose it at each sign-in: the code from your authenticator app, or a six-digit code sent by e-mail. Both can coexist. There is neither a magic link nor a code-only sign-in: a mailbox is never enough to open a session. ## The second factor | Factor | How it works | |---|---| | Authenticator app | A one-time code generated by a compatible app (TOTP). | | E-mail code | A six-digit code sent to your address, valid for ten minutes. Five attempts at most, one send per minute, six per hour. | ### Who must enable it - Clients and firm administrators are offered it only once, after signup or the first sign-in ("app", "e-mail code" or "later"). It is never imposed. - SpectrAI platform operators must enable it. Some actions require a session verified by second factor, for example adding a site, an agent or an internal test authorisation, or some agency operations. The application indicates it where relevant. ### Enabling, adding or removing a factor From **My account**, security section: - enable an authenticator app by scanning the displayed code and confirming a code; - enable the e-mail code; - remove a factor. Removing the e-mail factor requires a verified session, and it is refused as long as an unrecognised app remains active on the account. > [!TIP] > Enrol an authenticator app even if you use the e-mail code: you keep access if your mailbox is unavailable. ## Forgotten password Request a reset from the sign-in page. The link you receive opens the new password page. A reset followed by an e-mail code does not count as a verified session: sign in normally afterwards for the actions that require it. ## Signup and approval Signup confirms the e-mail address. A direct signup is approved automatically when catalogue sales are open to signup; otherwise, the waiting page explains it until approval by an operator. An invitation received from a colleague or a firm keeps its own flow. --- # Team and roles - URL: https://docs.spectr-ai.eu/en/compte-et-securite/equipe-et-roles - Markdown: https://docs.spectr-ai.eu/en/compte-et-securite/equipe-et-roles.md - Language: en - Section: Account and security - Type: Reference (reference) - Audience: Customers (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Invite people into a client space, choose their role (administrator, member, viewer), understand what each role allows and read the audit log. ## Inviting From **Team** in the client space, invite a person by e-mail address with a role. The invitation expires on the date shown; the person joins the space by accepting it. A "member joined the organisation" notification is sent by e-mail according to your preferences. Each person accesses this space only, never another client's. ## Roles of a client space | Role | Scope | |---|---| | Administrator | Manages the team, targets, pentests, orders and the space's settings. | | Member | Prepares and launches pentests: targets, ownership proof, Guidance and remediation tracking. | | Viewer | Reads published results and reports, without launching or changing anything. | A role is changed from the member's menu. You cannot change your own role. ## A partner's team Agency roles (admin, analyst, viewer) are described in [Console and client spaces](https://docs.spectr-ai.eu/en/partenaires/console). A partner's analysts and viewers see the client space assigned to them without being part of its team. ## Audit log **Audit log** lists the actions of the space: who, what, when, on which object. Filter by period, author and object, then export a bounded extract. Sensitive actions (launch, testing authorisation, report sharing, role changes) appear there. --- # Notifications - URL: https://docs.spectr-ai.eu/en/compte-et-securite/notifications - Markdown: https://docs.spectr-ai.eu/en/compte-et-securite/notifications.md - Language: en - Section: Account and security - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > SpectrAI notifications in the application and by e-mail, the reminders sent once per event, and how to set your preferences without losing the essential messages. ## In the application The notification centre of the client space signals the events that concern you: | Notification | When | |---|---| | Report ready | At the automatic publication of a report. | | Critical vulnerability | When a critical finding is published on a target. | | Test interrupted | When a pentest failed or is blocked; the notification leads to the reason and the possible next step. | | Ownership proof to renew | 7 days before the 90-day expiry. | | Retest window closing soon | 7 days before the end of the sixty days, if an included batch remains. | | Second evaluation available | On the agreed date of the annual programme. | | Scheduled pentest within three days | 3 days before a scheduled launch. | | Schedule paused | When a scheduled pentest could not start: missing evaluation, proof to renew, missing Guidance, invalid authorisation. | | Remediation deadline reached | When the date set in a finding's tracking is reached. | | Accepted risk to review | When the review date of an accepted risk is reached. | | New client | In a partner's console, when a client space is created. | ## By e-mail | Message | When | Adjustable | |---|---|---| | Account access, security, invitation, second-factor code | On the event | No: essential messages, always sent | | Report published | At the automatic publication of the report | Yes | | Pentest interrupted | When a pentest fails or is blocked | Yes | | Member joined the organisation | When an invitation is accepted | Yes | | Retest window closing | 7 days before the end of the sixty days, if an included batch remains | Yes | | Second annual evaluation available | On the agreed date | Yes | | Ownership proof expiring | 7 days before the 90-day expiry | Yes | Reminders are sent once per event. An address that bounced or complained is removed from optional sendings. ## Preferences From **My account**, e-mail preferences section: - a general switch pauses every optional product e-mail without changing your detailed choices; - each optional message can be enabled or disabled. Essential messages (access, security, invitation) are always sent. ## Sender E-mails are sent from the platform's domain, under the name of SpectrAI or of your white-label partner. The sending address is not a monitored mailbox: to write to us, use the [contact page](https://spectr-ai.eu/en/contact). --- # Data and privacy - URL: https://docs.spectr-ai.eu/en/compte-et-securite/donnees-et-confidentialite - Markdown: https://docs.spectr-ai.eu/en/compte-et-securite/donnees-et-confidentialite.md - Language: en - Section: Account and security - Type: Explanation (explanation) - Audience: Technical readers (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > What SpectrAI keeps from a pentest, how test accounts and evidence are protected, what is purged, where inference runs, and what SpectrAI does not promise. ## Isolation between clients Each client space is a boundary: every read and every write goes through the current space and rules enforced in the database. A partner only accesses its spaces; an analyst only the assigned spaces; a client contact only their own. ## What is kept | Data | Retention | |---|---| | Targets, ownership proofs, Guidance and its documents | Kept with the client space, versioned. | | Activity events of a pentest | Normalised and redacted before being recorded. | | Findings and evidence | Redacted, then frozen in the report. | | Reports | Immutable snapshots, with their PDF. | | Audit log | The actions of the space. | ## Test accounts Test accounts provided for a pentest are encrypted at rest, materialised just before execution, redacted from evidence and purged afterwards. > [!WARNING] > During execution, they are readable in clear text by the test engine and by the language model that drives it. No promise of erasure at the model provider or on storage media is possible. Use dedicated, revocable accounts. ## What never reaches your space Internal working paths, execution identifiers, image digests, provider secrets and the raw artefacts of the engine are never exposed in the client space, reports or exports. ## Language models The agents are driven by language models accessed through a gateway, with a provider imposed per profile, training on your data refused by the gateway policy and a consumption cap per pentest. SpectrAI does not promise that the provider retains nothing, nor inference located in the European Union, nor a "sovereign" character: these properties are not attested today. ## Deletion Deleting data triggers a storage purge, followed by a scheduled task. A confirmed purge does not prove erasure from backups nor from subcontractors' systems. ## Report sharing A share link expires on the chosen date and can be revoked at any time. Shared report pages are neither indexed nor cached by browsers. ## Subcontractors and rights The list of subcontractors, the purposes, the legal bases and your rights are described in the [privacy policy](https://spectr-ai.eu/en/confidentialite). The terms of use specify the authorised targets and acceptable use (see the [terms](https://spectr-ai.eu/en/conditions)). --- # Reference - URL: https://docs.spectr-ai.eu/en/reference - Markdown: https://docs.spectr-ai.eu/en/reference.md - Language: en - Section: Reference - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-04 > SpectrAI's limits and commitments, all deadlines and expirations in one table, troubleshooting of the common blockers, frequently asked questions and the product changelog. This section gathers what you need to be able to find quickly: the list of limits that SpectrAI does not hide, the deadlines (codes, proofs, retests, reminders), the troubleshooting of the most common blockers, the frequently asked questions and the dated history of product changes. --- # Limits and commitments - URL: https://docs.spectr-ai.eu/en/reference/limites - Markdown: https://docs.spectr-ai.eu/en/reference/limites.md - Language: en - Section: Reference - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > What SpectrAI does not do, does not promise or does not cover today: scope, confinement, retests, test accounts, models, compliance, invoicing. The list the product does not hide. A capability is only "delivered" once it is proven in the target environment. What follows is absent, partial or unproven, and remains so as long as this page says so. ## Scope - The external pentest tests exact HTTP(S) URLs over IPv4. The full external domain, typed exclusions and custom network limits are not offered externally. - Bare IP addresses, Git repositories, uploaded code and CI pipelines are not tested. - The internal scan tests the application named in the mandate, not "the whole network". It must be enabled by SpectrAI on the client space. - A target's explicit exclusions, the Guidance's out-of-scope elements, the excluded paths, the requested rate and the careful mode are test instructions, not a network policy. Only the authorised URLs (external) and the mandate (internal) are enforced at the network level. ## Authorisation - The attestation accepted at launch does not replace a separate signed legal authorisation between you and the owner of the application. This workflow is not delivered. ## Retests - A retest publishes an inconclusive result when the finding is not found again; it does not verify the fix. No "fix verified" verdict is issued. - After the two batches are used up or the sixty-day window closes, no additional fix is tested free of charge. ## Test accounts and data - Test accounts transit in clear text in the test engine and the model during execution; no erasure at the provider or on storage media can be promised. - A confirmed purge does not prove erasure from backups nor from subcontractors' systems. ## Models and coverage - Model profiles do not require that the provider retains nothing; no European inference region is attested; the word "sovereign" is not used. - Consumption and duration caps are internal guardrails: neither a strict guaranteed cost, nor exhaustive coverage, nor an absence of false positives. ## Compliance - The NIS2 index, CVSS and CWE structure the deliverable. They replace neither a regulatory audit, nor a qualification, nor a certification. ## Operations - The platform runs pentests one after the other; a queue is possible. - A partner's custom domain is delivered in the code and activated manually; no real partner domain has yet been exercised end to end. ## Invoicing - No refund is performed from the application. A dispute places the contract in verification, resolved by an operator with a justification. See also [Data and privacy](https://docs.spectr-ai.eu/en/compte-et-securite/donnees-et-confidentialite) and the [terms of use](https://spectr-ai.eu/en/conditions). --- # Deadlines and expirations - URL: https://docs.spectr-ai.eu/en/reference/delais-et-expirations - Markdown: https://docs.spectr-ai.eu/en/reference/delais-et-expirations.md - Language: en - Section: Reference - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > All product deadlines in one table: verification code, ownership proof, check at launch, retest window, reminders, second factor code, invitations, share links, agent tokens. | Element | Deadline | What happens next | |---|---|---| | Domain verification code | 72 hours | Generate a new code, publish it, run the verification again. | | Accepted ownership proof | 90 days | Any new launch is blocked; renew the proof. Reminder 7 days before. | | Proof check at launch | 5 minutes | The check is redone if it is older. | | Contract re-read before a launch | 10 minutes | A contract checked more than ten minutes ago is re-read from the payment provider. | | Retest window | 60 days after the report | Unused batches expire. Reminder 7 days before if a batch remains. | | Additional URLs of an internal scan | 60 days after the report | The remaining suggestions expire. | | Scheduled pentest reminder | 3 days before | Notification; pause if a condition is missing. | | Relay agent ready | Connection within the last 90 seconds | Without a ready agent, no test goes through the site. | | Agent enrolment token | 15 minutes, single use, shown only once | Generate a new token. | | Mandate of an internal site | Chosen duration, 1 to 366 days | Without a current authorisation, no launch. Reminder before expiry. | | Start window of a pentest | Chosen days and hours | The pentest only starts within that window. | | Live follow-up refresh | Every 15 seconds | Without any action on your part. | | Second factor code by e-mail | 10 minutes, 5 attempts | Request a new code (one per minute, six per hour). | | Invitation (team or client) | Date displayed | Send an invitation again. | | Report share link | Duration chosen at creation | The link expires; it can be revoked before. | | Pending order | 30 days without payment | The order is cancelled; order a new one. | | Unpaid instalment | Grace period of a few days | The contract enters verification; launches suspended. | | Review date of an accepted risk | Within one year at the latest | The finding follow-up reminds you of it. | --- # Troubleshooting - URL: https://docs.spectr-ai.eu/en/reference/depannage - Markdown: https://docs.spectr-ai.eu/en/reference/depannage.md - Language: en - Section: Reference - Type: How-to guide (how-to) - Audience: For everyone (all) - Published: 2026-11-04 - Updated: 2026-11-04 > The most common blockers and their solution, from symptom to action: ownership proof, Guidance, launch, paused pentest, relay, payment, second factor, invitations and share links. Each row starts from what you see in the application, gives the most probable cause and the action that unblocks it. The page that covers the topic is named under each table; the exact durations are gathered in [Deadlines and expirations](https://docs.spectr-ai.eu/en/reference/delais-et-expirations). ## Domain ownership proof | Symptom | Probable cause | What to do | |---|---|---| | "Expired code" | The verification code is only valid for 72 hours. | Generate a new code, publish it, run the verification again. | | "Redirection detected" (file) | The file is served behind a redirection, for example from `http` to `https` or to `www`. | Serve the file on the exact origin of the target, as a direct response. | | "Resolvers disagree" (DNS) | The TXT record has not propagated yet, or not all your DNS servers publish it. | Wait for propagation to finish; if the zone is served by several providers, publish the record on all of them. | | "Private address" | The target responds on a private IP address. | The target must respond on a public IPv4 address. | | "Proof invalidated", or expired proof | The accepted proof is valid for 90 days; a domain change also invalidates it. An expired proof blocks any launch. | Create a new code and run the verification again. A reminder is sent 7 days before expiry. | Details: [Verify the domain](https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine). ## Guidance | Symptom | Probable cause | What to do | |---|---|---| | The Guidance stays locked | The target's domain is not verified yet. | Complete the domain verification. | | Publishing is refused | A field is empty or contains only spaces. | Fill in every field; start from a template (SaaS, e-commerce, API, website) if needed. | | A path described in an API document is not tested | It points outside the authorised URLs: a document can never widen the scope. | Add the matching HTTPS URL in the target page, under the verified domain. | Details: [Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance). ## Launching a pentest | Symptom | Probable cause | What to do | |---|---|---| | The launch is refused | At launch, SpectrAI rechecks the role, the available evaluation, the target, the freshness of the proof (under 5 minutes), the Guidance and the URLs. | Check each prerequisite: an available evaluation, a valid proof, an active Guidance, the administrator or member role. | | No evaluation available | The evaluation of the one-off pentest is consumed, or the second evaluation of the annual programme is not open yet. | Order an evaluation from the application page. A retest consumes no evaluation. | | The pentest waits without starting | The platform runs pentests one after the other: yours waits its turn. The chosen start window may also not be open. | Wait; the pentest page shows its phase. | | A scheduled pentest is paused | No evaluation available, expired ownership proof, missing Guidance or authorisation no longer valid. | Fix the condition named in the notification (renew the proof, publish the Guidance, order an evaluation), then launch again. | Details: [Launch a pentest](https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest). ## Relay and internal scans | Symptom | Probable cause | What to do | |---|---|---| | "Internal application" unavailable when creating a target | Internal scans are not enabled on your space. | Write to us from the [contact page](https://spectr-ai.eu/en/contact?request=internal). | | No ready agent | An agent is ready when it has connected within the last 90 seconds: the machine is off, the container is stopped, or outbound HTTPS to the gateway is blocked. | Check that the machine is on and the container is running, read its logs, or enrol a new agent. | | The enrolment code is refused | The token is single-use, shown only once, and expires after 15 minutes. | Generate a new token and new commands. | | No test goes through the site | No current mandate: without a testing authorisation, nothing goes through the site. | Grant or renew the mandate. | | Reachability "unreachable", "refused" or "expired" | The agent could not open the requested TCP connection, or the address is not covered by the mandate. | Check network access from the agent's machine and the coverage of the mandate; the explanation of the result stays in the site's history. | | The agent disconnected during a scan | Relay loss. | Partial results are kept; the resume is offered once the agent is back, without an additional evaluation. | Details: [Install the relay](https://docs.spectr-ai.eu/en/scans-internes/installer-le-relais) and [The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions). ## Ordering and payment | Symptom | Probable cause | What to do | |---|---|---| | Rights do not open after payment | The payment confirmation and its reconciliation open the rights, usually within a few minutes. | Choose **Refresh the payment**. | | The payment page expired or the payment failed | The attempt is not complete. | **Resume the payment** reopens the same attempt, without a duplicate; **Cancel before payment** withdraws the order. | | The terms of use are refused | The version you read is outdated. | Reload the page and read them again. | | The order disappeared | A pending order abandoned for thirty days is cancelled on its own. | Order an evaluation again. | | Launches are suspended | An instalment unpaid after the grace period, a dispute or a refund places the contract in verification. | Settle the instalment from the invoice list; a SpectrAI operator resolves a dispute with a justification. | Details: [Ordering an evaluation](https://docs.spectr-ai.eu/en/offres-et-commandes/commander). ## Results and retests | Symptom | Probable cause | What to do | |---|---|---| | An expected finding does not appear | Only weaknesses demonstrated with evidence are published. | A report without findings attests that no weakness was proven within the scope and time of the test. Refine the Guidance (roles, high-impact flows) for the next pentest. | | The retest says "not reproduced" | The targeted test did not find the original finding again: the result is inconclusive. | It does not prove that the fix is correct; no "fix verified" verdict exists. | | A retest batch cannot be prepared | Both batches are used up, or the sixty-day window is closed. | A new order is required. | | The share link no longer opens | The link expired on the chosen date, or was revoked. | Create a new link from the report. | Details: [Correction retests](https://docs.spectr-ai.eu/en/resultats/retests) and [The report](https://docs.spectr-ai.eu/en/resultats/rapport). ## Account and team | Symptom | Probable cause | What to do | |---|---|---| | The e-mail code is refused | The code is valid for 10 minutes and 5 attempts. | Request a new code: one per minute, six per hour. | | An action asks for a "verified session" | Adding a site, an agent or a testing authorisation requires a second factor in the current session. | Sign in again with your second factor; a password reset does not count as a verified session. | | The invitation no longer works | It expired on the date displayed. | Ask an administrator to send an invitation again. | | You cannot change your own role | Nobody can change their own role. | Ask another administrator of the space. | Details: [Sign-in and second factor](https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur) and [Team and roles](https://docs.spectr-ai.eu/en/compte-et-securite/equipe-et-roles). ## Nothing matches Write to us from the [contact page](https://spectr-ai.eu/en/contact?request=pentest), naming the page concerned and what you see; we reply by email. The capabilities the product lacks are listed in [Limits and commitments](https://docs.spectr-ai.eu/en/reference/limites), the common questions in the [FAQ](https://docs.spectr-ai.eu/en/reference/faq). --- # Frequently asked questions - URL: https://docs.spectr-ai.eu/en/reference/faq - Markdown: https://docs.spectr-ai.eu/en/reference/faq.md - Language: en - Section: Reference - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Short answers to the most common questions about SpectrAI: scope, evidence, report, retests, relay, prices, partners, security and compliance. ## Scope ### Can I test my whole domain or several applications with one order? No. An order names one application and its associated APIs, in an agreed environment. Another application is another target and another order. ### Are subdomains included in an external pentest? Not by default. The external pentest tests the authorised HTTPS URLs under the verified domain, those you added in the target page, each as an exact URL. Nothing is added by discovery. For an internal scan, the mandate can include the application's subdomains. ### Can I test an IP address or my code repository? No. Bare IP addresses, Git repositories, uploaded code and CI pipelines are not covered. ## Evidence and report ### Why does a finding I suspect not appear? Only weaknesses demonstrated with evidence are published. A report without findings attests that no weakness was proven within the scope and time of the test, not that the application is secure. ### Does someone review the report before its publication? No. Finding assessment and publication are fully autonomous, after automatic checks of evidence, scope and consistency. ### Can a report be modified after publication? No. Each report is a frozen snapshot. A new pentest produces a new report. ## Retests ### What does a retest verify? It reruns a targeted test on the original finding. If it does not find it again, the result is inconclusive: it does not prove that the fix is correct. If it finds it again, the finding is reopened. ### How many retests are included? Two batches per report, within sixty days, with no cap on fixes per batch. They never consume the second evaluation of an annual programme. ## Relay and internal scans ### What do I need to install for an internal scan? A Docker agent on a machine of the network to test, with the commands provided by the application and a single-use enrolment code. It opens no inbound port and must stay available during the test. Internal scans are enabled by SpectrAI on your space after agreement on the scope. ### Can an internal scan go outside the mandate? No. The mandate is enforced as a network policy: a destination outside the mandate is never tested. If it is discovered during the scan, it becomes a suggestion to approve, never a test. ## Prices and orders ### Where are the prices? They are not published on the site. They are displayed at the time of ordering, in the application. ### Does the annual programme renew automatically? No. It is a twelve-month commitment, prepaid or in twelve fixed instalments, with no automatic renewal. ### Can I get a refund? No refund is performed from the application. An evaluation is returned to the contract if the pentest is cancelled before it starts or fails for a platform cause without a report. ## Partners ### Does my client see the partner rate? No. SpectrAI invoices the partner; the partner sets its resale price and invoices its client. The end customer sees neither the partner rate nor the supplier invoices. ### Can I choose to validate reports before my clients see them? No. Publication is autonomous for all spaces; no validation policy exists. ## Security and compliance ### Is the second factor mandatory? It is offered once to clients and administrators, never imposed; some actions require a verified session. Only platform operators must enable it. ### Does SpectrAI attest NIS2 compliance or certify anything? No. The NIS2 index classifies the evidence of a report; it attests no compliance and replaces neither an audit, nor a qualification, nor a certification. ### Where do the language models run? Through a gateway, with a provider imposed per profile and training prohibited. SpectrAI attests neither inference in the European Union, nor that the provider retains nothing. --- # Use the documentation with AI - URL: https://docs.spectr-ai.eu/en/reference/agents - Markdown: https://docs.spectr-ai.eu/en/reference/agents.md - Language: en - Section: Reference - Type: How-to guide (how-to) - Audience: For everyone (all) - Published: 2026-11-04 - Updated: 2026-11-04 > Give your assistant a Markdown page or the complete SpectrAI documentation, including source links, language and last updated dates. This documentation is public and requires no sign-in. HTML and Markdown versions are generated from the same pages. You can give them to an assistant to prepare a pentest, understand a report or find a procedure. ## Choose the right context | Need | Resource | | --- | --- | | Ask about the page you are reading | The “Copy as Markdown” button or the “Use with AI” menu | | Find relevant pages | [The page index](https://docs.spectr-ai.eu/llms.txt), with summaries and Markdown links in English then French | | Read several topics or build a local index | [The full text](https://docs.spectr-ai.eu/llms-full.txt), English then French, with each page’s addresses and dates | | Explore the French documentation tree | [The French Markdown home](https://docs.spectr-ai.eu/index.md) | | Explore the English documentation tree | [The English Markdown home](https://docs.spectr-ai.eu/en.md) | For a specific question, start with the index and retrieve only the pages you need. The full file suits an assistant that can read it all; its size may exceed the space available in some tools. ## Retrieve a page as Markdown Append `.md` to a page’s address. French lives at the root; English uses the `/en` prefix and the same slugs. ```sh curl https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine.md curl https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine.md ``` You can also request Markdown at the HTML address with the `Accept` header: ```sh curl -H 'Accept: text/markdown' https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine ``` Each page provides its title, summary, language, dates, HTML address, Markdown address and other language in the front matter. Links are absolute so they remain usable after copying the text. Related pages help you explore the subject further. ## Ask a question with sources An example prompt to adapt: ```text Read https://docs.spectr-ai.eu/llms.txt and the pages relevant to my question. Explain how to verify a domain before an external pentest. Cite the source addresses and their last updated dates. Distinguish documented facts from your inferences. If information is missing, say so and ask for clarification. ``` The “Use with AI” menu opens an assistant with a prompt and the page’s addresses. The assistant must be able to retrieve those addresses. If it cannot, use “Copy as Markdown” and paste the text into the conversation. ## Keep the context appropriate The documentation describes the product’s public behaviour. It does not provide access to your account, orders or reports. Sharing a page with an assistant does not start a test or give it any authorisation over your application. To prepare a question, consult the [concepts](https://docs.spectr-ai.eu/en/demarrer/concepts), [limits and commitments](https://docs.spectr-ai.eu/en/reference/limites) and [privacy information](https://docs.spectr-ai.eu/en/compte-et-securite/donnees-et-confidentialite). For a problem in the application, consult [troubleshooting](https://docs.spectr-ai.eu/en/reference/depannage). --- # Changelog - URL: https://docs.spectr-ai.eu/en/reference/journal-des-modifications - Markdown: https://docs.spectr-ai.eu/en/reference/journal-des-modifications.md - Language: en - Section: Reference - Type: Reference (reference) - Audience: For everyone (all) - Published: 2026-11-01 - Updated: 2026-11-04 > The dated history of visible changes to SpectrAI, for clients and partners: offers, flows, relay, authentication, documentation. Each item describes what changed for clients and partners, on the date it went into service. Internal operational details are not included. ## 4 November 2026 - Documentation: every page exists as Markdown by appending `.md` to its address, or by requesting it with the `Accept: text/markdown` header; the `https://docs.spectr-ai.eu/llms.txt` index lists every page for assistants. - Documentation: search across the full text of the pages (shortcut `/` or Ctrl K), related pages at the end of each article, a share card of its own for each page, and a [Troubleshooting](https://docs.spectr-ai.eu/en/reference/depannage) page that goes from symptom to action. - Documentation: quick links on the home page, collapsible sections, a mobile table of contents, code copying and a compact AI menu. The [Use the documentation with AI](https://docs.spectr-ai.eu/en/reference/agents) guide explains the formats and sources to share. ## 1 November 2026 - Opening of this documentation, in French and in English, with its Markdown version per page and an index for assistants. ## 31 October 2026 - The second factor can be a six-digit code by e-mail, in addition to the authenticator app; both can be combined and are chosen at each sign-in. - The magic link sign-in is removed: sign-in by password then second factor only. - The second factor is offered only once after signup to clients and administrators; it remains mandatory for platform operators. - Client reminders sent once per event: retest window closing, second annual evaluation available, ownership proof expiring. - The order records the version of the terms of use that was accepted. ## 29 and 30 October 2026 - Revision of the ergonomics of the client space and console pages: tabs, lists, live activity tracking of a pentest in four steps. - Return of an evaluation in case of cancellation before start or platform failure without a report. ## 28 October 2026 - Internal scans through a relay installed at the client's premises: sites, signed agents, mandate with subdomains and exclusions, automatic report. - Finding assessment and report publication fully autonomous, without human validation. ## 18 and 19 October 2026 - Online card payment on a hosted page, invoices and card replacement portal. - Application catalogue: one-off pentest or annual programme, for one named application; two retest batches per report. ## 10 October 2026 - New public site in French and in English: offers, methodology, sample report, partners, contact and legal pages. --- # Démarrer - URL: https://docs.spectr-ai.eu/demarrer - Markdown: https://docs.spectr-ai.eu/demarrer.md - Language: fr - Section: Démarrer - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce que SpectrAI fait, les notions à connaître, le premier pentest de bout en bout et le vocabulaire du produit. SpectrAI teste une application web nommée, depuis Internet (pentest externe) ou depuis l'intérieur de votre réseau à travers un relais installé chez vous (scan interne). Des agents autonomes testent le périmètre que vous avez autorisé, les preuves sont vérifiées automatiquement et le rapport est publié sans validation humaine. Cette section présente le produit en quelques minutes, explique le modèle (application, preuve de contrôle, Guidance, pentest, findings, rapport), puis déroule un premier pentest externe de l'inscription au rapport. > [!NOTE] > Chaque page de cette documentation décrit ce que le produit fait aujourd'hui. Les capacités absentes sont listées dans [Limites et engagements](https://docs.spectr-ai.eu/reference/limites) plutôt que promises. --- # Présentation de SpectrAI - URL: https://docs.spectr-ai.eu/demarrer/presentation - Markdown: https://docs.spectr-ai.eu/demarrer/presentation.md - Language: fr - Section: Démarrer - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Un pentest autonome d'une application nommée, externe ou interne, avec des preuves vérifiées, un rapport figé et des retests de correction. Ce que c'est, pour qui, et ses limites. ## Ce que SpectrAI fait SpectrAI réalise un test d'intrusion d'une application web et de ses API associées, dans un environnement convenu. Deux modes d'exécution existent : | Mode | Depuis où | Ce que vous fournissez | |---|---|---| | Pentest externe | Internet | L'URL exacte de l'application et la preuve que vous contrôlez son domaine | | Scan interne | Votre réseau, via un relais installé sur place | Un site déclaré, un agent installé sur une machine de ce site et un mandat : l'application autorisée, ses sous-domaines éventuels, ses ports HTTPS et une durée. Activé par SpectrAI sur votre espace | Dans les deux cas, des agents de test travaillent dans le périmètre autorisé, avec des limites de consommation et de durée gérées par SpectrAI. Seules les faiblesses démontrées sont publiées, chacune avec sa preuve. Le rapport est un document figé, exportable en PDF, et chaque rapport ouvre droit à deux lots de retests de correction dans les soixante jours. ## Pour qui - Les PME et ETI qui veulent un test avec preuves de leurs applications exposées sur Internet ou de leurs services privés. - Les cabinets de sécurité, MSSP, MSP et infogérants qui livrent ces tests sous leur propre marque, pour plusieurs clients, depuis une console dédiée. ## Comment ça se passe 1. Vous enregistrez l'application (sa cible) et prouvez que vous contrôlez son domaine, ou vous installez un relais dans votre réseau. 2. Vous décrivez la Guidance : surface d'attaque, priorités, stratégie et techniques interdites, exigences de preuve, documents d'API. 3. Vous préparez le pentest, attestez l'autorisation et le lancez. 4. Vous suivez l'activité pendant le test. 5. Vous recevez les findings vérifiés, leurs preuves, les chemins d'attaque et le rapport. 6. Vous corrigez, puis vous lancez vos lots de retests. Le détail de chaque étape est dans [Votre premier pentest](https://docs.spectr-ai.eu/demarrer/premier-pentest). ## Limites de SpectrAI - SpectrAI n'assure ni surveillance active ni abonnement mensuel résiliable à tout moment : une commande couvre une évaluation complète, ou deux sur douze mois. - SpectrAI ne délivre ni certification ni audit réglementaire. L'index NIS2 classe les preuves ; il n'atteste pas une conformité. - SpectrAI ne teste ni adresses IP nues, ni dépôts de code, ni code source : seules les applications web nommées sont couvertes. - Le périmètre ne s'élargit jamais en fonction de ce que les agents rencontrent pendant le test. > [!IMPORTANT] > L'évaluation des findings et la publication des rapports sont entièrement autonomes. Aucune personne ne relit ou ne retient un rapport avant sa livraison : ce que vous lisez est ce que les contrôles automatiques de preuves, de périmètre et de cohérence ont laissé passer. ## Où est le produit L'application se trouve sur [app.spectr-ai.eu](https://app.spectr-ai.eu). Les pages publiques de [spectr-ai.eu](https://spectr-ai.eu/) décrivent les [offres](https://spectr-ai.eu/offres), la [méthodologie](https://spectr-ai.eu/methodologie) et un [exemple de rapport](https://spectr-ai.eu/exemple-de-rapport). SpectrAI est un produit rootzero ; l'éditeur légal est Thucy SARL (voir les [mentions légales](https://spectr-ai.eu/mentions-legales)). --- # Concepts clés - URL: https://docs.spectr-ai.eu/demarrer/concepts - Markdown: https://docs.spectr-ai.eu/demarrer/concepts.md - Language: fr - Section: Démarrer - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Cible, preuve de contrôle, Guidance, pentest, tentative, findings, preuves, chemins d'attaque, rapport, retests : comment ces objets s'articulent dans SpectrAI. ## Le modèle en une image ```text Agence (cabinet partenaire, ou l'agence maison SpectrAI) └── Espace client (la frontière entre clients) └── Cible (une application, enregistrée une fois) ├── Preuve de contrôle (fichier HTTPS ou enregistrement DNS TXT) ├── Guidance (contexte réutilisable d'un test à l'autre) └── Pentest (une mission datée) └── Tentative(s) (exécution initiale, puis reprise éventuelle) ├── activité en direct ├── findings et preuves ├── chemins d'attaque dérivés └── rapport figé ``` Une cible n'est pas un pentest : une application est enregistrée une fois et peut être testée plusieurs fois. Une reprise crée une nouvelle tentative sur la même mission. ## Cible Une cible est une application web nommée par son URL exacte (par exemple `https://app.exemple.fr`), avec ses API associées. Sa fiche liste les URL HTTPS autorisées sous le domaine vérifié et les exclusions explicites. Elle appartient à un espace client. Les adresses IP nues ne sont pas des cibles. ## Preuve de contrôle Avant tout pentest externe, vous prouvez que vous contrôlez le domaine de la cible, par un fichier publié en HTTPS sur l'origine exacte ou par un enregistrement DNS TXT sur le domaine parent. Le code de vérification est valable 72 heures ; une preuve acceptée reste valable 90 jours. Voir [Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine). Pour un scan interne, c'est l'autorisation de test posée sur le site (le mandat : nom d'hôte, sous-domaines éventuels, ports HTTPS, durée) qui joue ce rôle. Voir [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions). ## Guidance La Guidance est le contexte que vous donnez aux agents : surface d'attaque, priorités, stratégie, règles de validation, documents d'API et comptes de test. Elle est versionnée ; chaque pentest part de la Guidance active de sa cible. Elle ne peut jamais élargir les URL vérifiées. Voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance). ## Pentest et tentative Un pentest est une mission datée sur une cible, avec ses URL autorisées ordonnées et, si besoin, des comptes de test. Son exécution est une tentative. Si une tentative s'interrompt pour une cause éligible, une reprise crée une seconde tentative sur la même mission. Seuls les résultats de la dernière tentative réussie, complète et cohérente vous sont présentés. ## Findings et preuves Un finding est une faiblesse démontrée. Il porte une sévérité (CVSS), une classification (CWE), une description, un impact, une recommandation et ses preuves : requêtes et réponses HTTP expurgées, preuve de concept ou artefacts. Ce qui n'a pas été démontré n'est pas publié. Voir [Findings et preuves](https://docs.spectr-ai.eu/resultats/findings-et-preuves). ## Chemins d'attaque Les findings prouvés sont reliés en chemins d'attaque, avec la provenance de chaque étape. Ils sont dérivés des preuves ; ils n'ajoutent aucune hypothèse. Voir [Chemins d'attaque](https://docs.spectr-ai.eu/resultats/chemins-d-attaque). ## Rapport Le rapport est un instantané figé d'un pentest terminé : données, marque et limites y sont fixées au moment de la publication. Il est publié automatiquement, même sans finding, et s'exporte en PDF. Voir [Le rapport](https://docs.spectr-ai.eu/resultats/rapport). ## Lots de retests Après chaque rapport, deux lots de retests de correction sont inclus pendant soixante jours. Un lot regroupe les corrections que vous souhaitez faire vérifier. Voir [Retests de correction](https://docs.spectr-ai.eu/resultats/retests). ## Évaluation Une évaluation est le droit de lancer un pentest complet. Un pentest ponctuel en contient une ; un programme annuel en contient deux sur douze mois. Les lots de retests sont distincts des évaluations. Voir [Le catalogue](https://docs.spectr-ai.eu/offres-et-commandes/catalogue). ## Espace client, agence, console Un espace client isole les données d'un client. Une agence (cabinet partenaire) gère plusieurs espaces clients depuis sa console et entre dans un espace pour y travailler comme le client lui-même. Les clients directs sont rattachés à l'agence maison SpectrAI. Voir [Console et espaces clients](https://docs.spectr-ai.eu/partenaires/console). --- # Votre premier pentest - URL: https://docs.spectr-ai.eu/demarrer/premier-pentest - Markdown: https://docs.spectr-ai.eu/demarrer/premier-pentest.md - Language: fr - Section: Démarrer - Type: Tutoriel (tutorial) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > De l'inscription au rapport : créer le compte, enregistrer l'application, prouver le domaine, rédiger la Guidance, lancer le pentest, lire les résultats et préparer les retests. Ce tutoriel suit un pentest externe complet d'une application `https://app.exemple.fr`. Comptez une quinzaine de minutes de préparation ; la durée du test dépend ensuite de l'application et de la file d'exécution. ## Avant de commencer - Vous contrôlez le domaine de l'application (accès au serveur web ou à la zone DNS). - Vous êtes autorisé à faire tester cette application : vous en êtes propriétaire ou vous détenez une autorisation écrite et préalable de son propriétaire, valable pendant toute la durée du test. - L'application est joignable depuis Internet en HTTP(S) sur une adresse IPv4. ## 1. Créer le compte 1. Ouvrez la page d'inscription et confirmez votre adresse e-mail. 2. À la première connexion, SpectrAI vous propose une seule fois un second facteur : application d'authentification, code par e-mail, ou plus tard. Il n'est jamais imposé à un client ; vous pourrez l'activer depuis [Mon compte](https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur). 3. Une inscription directe crée un espace client rattaché à l'agence maison SpectrAI. Il est approuvé automatiquement si la vente du catalogue est ouverte à l'inscription ; sinon, une page d'attente l'explique jusqu'à l'approbation par un opérateur. Si vous avez reçu une invitation (d'un collègue ou d'un cabinet partenaire), suivez simplement son lien : elle garde son propre parcours. ## 2. Enregistrer l'application 1. Dans **Cibles**, choisissez **Ajouter une cible**. 2. Saisissez l'URL exacte de l'application, par exemple `https://app.exemple.fr`. L'URL exacte est le point de départ du périmètre. Vous pourrez ajouter d'autres URL HTTPS sous le domaine vérifié et des exclusions explicites dans la fiche de la cible ; rien n'est ajouté par découverte pendant le test. ## 3. Prouver le contrôle du domaine 1. Choisissez une méthode : fichier HTTPS sur l'origine exacte, ou enregistrement DNS TXT sur le domaine parent. 2. Publiez le code fourni, puis lancez la vérification. Le code est valable 72 heures ; la preuve acceptée reste valable 90 jours. Le détail, y compris les causes d'échec, est dans [Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine). ## 4. Rédiger la Guidance La Guidance s'ouvre une fois le domaine vérifié. Partez d'un modèle (SaaS, e-commerce, API, site web), puis décrivez la surface d'attaque, les priorités, la stratégie et les techniques interdites, les exigences de preuve et les conditions d'arrêt ; joignez vos documents OpenAPI, Swagger ou Postman. Publiez la Guidance : chaque pentest part de la version active. Voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance). ## 5. Commander L'achat se fait depuis la fiche de l'application, une fois la preuve de contrôle valide et la Guidance active. Choisissez un pentest ponctuel ou un programme annuel, puis réglez par carte sur la page de paiement hébergée. Les droits s'ouvrent à la confirmation du paiement. Voir [Commander une évaluation](https://docs.spectr-ai.eu/offres-et-commandes/commander). ## 6. Préparer et lancer le pentest 1. Dans **Pentests**, choisissez **Préparer un pentest** et sélectionnez la cible. 2. Choisissez et ordonnez les URL autorisées, fournissez si nécessaire des comptes de test dédiés et réglez les garde-fous (chemins exclus, débit, mode prudent, fenêtre de démarrage). 3. Lisez et acceptez les cinq attestations d'autorisation. 4. Lancez. Une évaluation disponible est débitée ; un retest valide ne l'est pas. Voir [Lancer un pentest](https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest). ## 7. Suivre l'activité La page du pentest montre ses phases, sa durée, l'heure de fin au plus tard, le plan de tests et les surfaces testées. Vous pouvez annuler ; une reprise n'est proposée que si la mission y est éligible. Voir [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test) et [Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite). ## 8. Lire les résultats À la fin, les findings prouvés, leurs preuves HTTP expurgées et les chemins d'attaque apparaissent dans **Vulnérabilités** et dans la page du pentest. Le rapport final est publié automatiquement dans **Rapports**, téléchargeable en PDF et partageable par un lien révocable. ## 9. Corriger et faire retester Corrigez, puis préparez un lot de retests depuis les findings concernés : deux lots sont inclus dans les soixante jours suivant le rapport. Voir [Retests de correction](https://docs.spectr-ai.eu/resultats/retests). > [!TIP] > Avant de commander, lisez un [exemple de rapport](https://spectr-ai.eu/exemple-de-rapport) : il montre exactement la forme des livrables que vous recevrez. --- # Glossaire - URL: https://docs.spectr-ai.eu/demarrer/glossaire - Markdown: https://docs.spectr-ai.eu/demarrer/glossaire.md - Language: fr - Section: Démarrer - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Les termes employés dans l'application, les rapports et cette documentation, avec leur définition courte et un lien vers la page qui les détaille. | Terme | Définition | |---|---| | Agence | Un cabinet partenaire (ou l'agence maison SpectrAI) qui gère plusieurs espaces clients depuis sa console. Voir [Console et espaces clients](https://docs.spectr-ai.eu/partenaires/console). | | Agent (relais) | Le logiciel installé sur une machine de votre réseau pour les scans internes. Voir [Le relais](https://docs.spectr-ai.eu/scans-internes/relais). | | Attestation d'autorisation | La déclaration que vous acceptez au lancement : vous êtes propriétaire des adresses testées ou détenez l'autorisation écrite de leur propriétaire. | | Chemin d'attaque | Un enchaînement démontré de findings, avec la provenance de chaque étape. Voir [Chemins d'attaque](https://docs.spectr-ai.eu/resultats/chemins-d-attaque). | | Cible | Une application web nommée par son URL exacte, enregistrée une fois et testée plusieurs fois. | | Console | L'espace de travail d'une agence : vue d'ensemble, clients, missions, équipe et marque blanche. | | CVSS | Le score de sévérité d'un finding. Il structure le livrable ; il ne remplace pas votre analyse de risque. | | CWE | La classification de la faiblesse d'un finding. | | Espace client | La frontière entre clients : cibles, pentests, findings, rapports et équipe d'un client. | | Évaluation | Le droit de lancer un pentest complet. Une par pentest ponctuel, deux par programme annuel. | | Finding | Une faiblesse démontrée, publiée avec ses preuves. Dans l'application, la page qui les liste s'appelle **Vulnérabilités**. | | Guidance | Le contexte versionné donné aux agents : surface d'attaque, priorités, stratégie et techniques interdites, exigences de preuve et conditions d'arrêt, documents d'API. | | Garde-fous | Les consignes facultatives d'un pentest : chemins exclus, débit maximal demandé, mode prudent, fenêtre de démarrage (la seule imposée par la plateforme). | | Index NIS2 | Un classement des preuves selon des contrôles choisis de l'article 21 de NIS2. Il ne vaut pas attestation de conformité. | | Lot de retests | Un ensemble de corrections à faire vérifier après un rapport. Deux lots inclus par rapport, dans les soixante jours. | | Mandat | L'autorisation de test d'un site interne : nom d'hôte de l'application, sous-domaines inclus ou non, ports HTTPS et durée de validité, en révisions signées. | | Marque blanche | La livraison des rapports et de l'espace client sous le nom, le logo et, éventuellement, le domaine d'un partenaire. | | Mission | Dans la console d'une agence, le droit d'exécution affecté à un client. | | Pentest | Une mission datée sur une cible. Dans l'application, la page **Pentests**. | | Preuve | Ce qui démontre un finding : requêtes et réponses HTTP expurgées, preuve de concept, artefacts. | | Preuve de contrôle | La démonstration que vous contrôlez le domaine d'une cible externe, par fichier HTTPS ou enregistrement DNS TXT. | | Programme annuel | Deux évaluations complètes de la même application sur douze mois, sans renouvellement automatique. | | Rapport | L'instantané figé d'un pentest terminé, publié automatiquement, exportable en PDF. | | Relais | Le dispositif qui permet de tester depuis l'intérieur de votre réseau : un agent installé sur place et une autorisation de test. | | Reprise | Une nouvelle tentative sur la même mission après une interruption éligible. | | Résultat non concluant | Le verdict d'un retest qui n'a pas retrouvé le finding d'origine. Il ne prouve pas que la correction est correcte. | | Second facteur | L'application d'authentification ou le code par e-mail demandé après le mot de passe. | | Site | Un réseau interne déclaré dans **Sites et agents** par ses plages IPv4 privées, où un agent est installé. | | Tentative | Une exécution d'un pentest. Seule la dernière tentative réussie, complète et cohérente est présentée. | --- # Pentest externe - URL: https://docs.spectr-ai.eu/pentest-externe - Markdown: https://docs.spectr-ai.eu/pentest-externe.md - Language: fr - Section: Pentest externe - Type: Explication (explanation) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Tester une application depuis Internet : prouver le contrôle du domaine, rédiger la Guidance, préparer et lancer le pentest, comprendre ce qui se passe pendant le test, suivre son activité jusqu'au rapport. Le pentest externe teste une application joignable depuis Internet. Le périmètre est la liste des URL HTTPS autorisées sous le domaine vérifié, chacune testée comme une URL exacte en IPv4 : rien n'y est ajouté par découverte, ni sous-domaine, ni port, ni adresse IP. Cinq pages couvrent le parcours : la preuve de contrôle du domaine, la Guidance, le lancement, ce qui se passe pendant le test et le suivi. Les résultats sont décrits dans la section [Résultats](https://docs.spectr-ai.eu/resultats). > [!NOTE] > La plateforme applique le confinement réseau en plus des consignes données aux agents : une destination hors périmètre est refusée avant d'être contactée. Les exclusions que vous écrivez (chemins, hôtes) sont des consignes de test ; elles ne sont pas encore un blocage réseau pour les scans externes. --- # Vérifier le domaine - URL: https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine - Markdown: https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine.md - Language: fr - Section: Pentest externe - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Prouver que vous contrôlez le domaine d'une application par un fichier HTTPS ou un enregistrement DNS TXT, comprendre les délais et résoudre les échecs de vérification. Aucun pentest externe ne se lance sans preuve que vous contrôlez le domaine de la cible. Deux méthodes sont proposées ; une seule suffit. ## Choisir une méthode | Méthode | Où publier | Quand la préférer | |---|---|---| | Fichier HTTPS | Sur l'origine exacte de l'application, à l'emplacement indiqué | Vous déployez l'application ou son serveur web | | Enregistrement DNS TXT | Dans la zone DNS du domaine parent | Vous gérez le DNS mais pas le serveur, ou l'application refuse les fichiers statiques | ## Vérifier par fichier HTTPS 1. Dans la fiche de la cible, choisissez la vérification par fichier. 2. Copiez le code et publiez-le à l'emplacement indiqué, sur l'origine exacte (`https://app.exemple.fr/…`), en réponse directe. 3. Lancez la vérification. La vérification refuse les redirections et les adresses IP privées, et résout le nom avant et après la lecture du fichier. Un fichier servi derrière une redirection (par exemple de `http` vers `https`, ou vers `www`) n'est pas accepté : publiez-le sur l'origine exacte de la cible. ## Vérifier par DNS TXT 1. Choisissez la vérification par enregistrement TXT. 2. Ajoutez l'enregistrement dédié (nom et valeur fournis) dans la zone DNS du domaine parent. 3. Attendez la propagation, puis lancez la vérification. La vérification exige deux résolveurs concordants. Si votre zone est servie par plusieurs fournisseurs, publiez l'enregistrement sur tous. ## Délais | Élément | Durée | |---|---| | Code de vérification | 72 heures. Après, générez un nouveau code et publiez-le. | | Preuve acceptée | 90 jours. Une notification vous prévient 7 jours avant l'échéance. | | Contrôle au lancement | 5 minutes. Au moment du lancement, SpectrAI recontrôle la preuve ; ce contrôle doit être frais. | > [!WARNING] > Une preuve expirée bloque tout nouveau lancement, y compris un pentest planifié, qui se met alors en pause avec une notification. Renouvelez la preuve, puis relancez. ## Résoudre un échec | Message | Que faire | | --- | --- | | Code expiré | Générez un nouveau code, publiez-le et relancez la vérification. | | Redirection détectée (fichier) | Servez le fichier sur l'origine exacte, sans redirection. | | Résolveurs en désaccord (DNS) | Attendez la fin de la propagation ou vérifiez que tous vos serveurs DNS publient l'enregistrement. | | Adresse privée | La cible doit répondre sur une adresse IPv4 publique. | | Preuve invalidée | Une preuve peut cesser d'être valide (changement de domaine, échéance). Créez un nouveau code pour reprendre le parcours. | ## Après la vérification La Guidance se déverrouille. Vous pouvez aussi commander une évaluation depuis la fiche de l'application. La preuve ne couvre que le domaine vérifié : une autre application est une autre cible, avec sa propre preuve. --- # Rédiger la Guidance - URL: https://docs.spectr-ai.eu/pentest-externe/guidance - Markdown: https://docs.spectr-ai.eu/pentest-externe/guidance.md - Language: fr - Section: Pentest externe - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Donner aux agents le contexte d'une application : surface d'attaque, priorités, stratégie et techniques interdites, exigences de preuve et conditions d'arrêt, documents OpenAPI ou Postman et comptes de test. La Guidance est le contexte réutilisable d'une cible. Chaque pentest part de sa version active ; une bonne Guidance donne des tests mieux ciblés et des findings plus utiles. ## Prérequis - Le domaine de la cible est vérifié : la Guidance reste verrouillée jusque-là. - Votre rôle permet de modifier la cible (administrateur ou membre). ## Les champs | Section | Champs | Ce qu'ils attendent | |---|---|---| | Surface d'attaque | Contexte de la surface, Éléments hors périmètre | Les parties de l'application et des API qui comptent (authentification, espaces par rôle, uploads, intégrations, webhooks), et ce qui doit rester à l'écart. | | Priorités | Objectifs prioritaires, Contexte métier | Ce que vous voulez voir testé en premier et ce qui a le plus d'impact pour vous (données clients, paiement, administration). | | Stratégie d'attaque | Classes de vulnérabilités, Instructions de test, Techniques interdites | Les familles à chercher (contrôle d'accès, injection, logique métier…), les consignes utiles, et ce que les agents ne doivent pas faire (déni de service, suppression de données, envoi de messages ou de paiements réels, accès à des services tiers hors périmètre). | | Validation | Exigences de preuve, Conditions d'arrêt | Ce qui compte comme une faiblesse démontrée dans votre contexte, et les situations où le test doit s'arrêter. | Des modèles de départ (SaaS, e-commerce, API, site web public) préremplissent ces champs ; adaptez-les. Aucun champ ne peut rester vide ni ne contenir que des espaces. ## Documents d'API Joignez vos descriptions OpenAPI, Swagger ou Postman et choisissez celles à inclure dans la prochaine version de Guidance. Elles sont privées, canonisées à l'import et versionnées avec la Guidance. Elles aident les agents à couvrir les API ; elles ne peuvent jamais élargir les URL vérifiées : un chemin qui pointe hors du périmètre autorisé est ignoré. Supprimer un document ne modifie pas les versions de Guidance déjà publiées. ## Comptes de test Si l'application exige une authentification, fournissez, au moment de préparer le pentest, des comptes de test dédiés avec les rôles que vous voulez voir exercés. Ils sont chiffrés au repos, matérialisés juste avant l'exécution, expurgés des preuves et purgés ensuite. > [!WARNING] > Pendant l'exécution, les comptes de test sont lisibles en clair par le moteur de test et par le modèle de langage qui le pilote. N'utilisez jamais des comptes réels ni des comptes réutilisés ailleurs ; créez des comptes dédiés, révocables, sur un environnement de test. Les pentests planifiés (récurrents) ne reçoivent aucun compte de test. ## Exclusions et garde-fous Les « Éléments hors périmètre » de la Guidance, les exclusions explicites de la cible et les chemins exclus des garde-fous d'un pentest sont des consignes données aux agents ; ils ne constituent pas une politique réseau. Pour un périmètre strictement borné, le pentest externe reste limité aux URL autorisées et le scan interne au [mandat](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions). Voir aussi [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test). ## Publier Publiez la Guidance pour la rendre active. Les versions publiées sont conservées ; un pentest déjà lancé garde la version avec laquelle il est parti. Un pentest planifié se met en pause si la Guidance vient à manquer. ## Conseils - Décrivez les rôles et ce que chacun doit ou ne doit pas pouvoir faire : c'est la matière première des findings de contrôle d'accès. - Nommez les flux à fort impact (paiement, export de données, administration). - Indiquez l'environnement : un environnement de recette isolé évite les effets de bord sur vos données réelles. --- # Lancer un pentest - URL: https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest - Markdown: https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest.md - Language: fr - Section: Pentest externe - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Préparer un pentest sur une cible vérifiée : choisir et ordonner les URL autorisées, fournir les comptes de test, régler les garde-fous, accepter les cinq attestations, lancer, et comprendre ce qui est débité. ## Prérequis - Une cible avec une preuve de contrôle valide et une Guidance active. - Une évaluation disponible (pentest ponctuel ou programme annuel), ou un lot de retests pour un retest. - Le rôle administrateur ou membre dans l'espace client. ## Le périmètre de la cible La fiche de la cible liste les **URL et sous-domaines** autorisés : l'URL exacte enregistrée, plus les URL HTTPS que vous ajoutez sous le domaine vérifié. Elle accepte aussi des **exclusions explicites** : des chemins ou hôtes HTTPS qui doivent rester hors du pentest. Rien n'est ajouté au périmètre par découverte pendant le test. ## Préparer 1. Dans **Pentests**, choisissez **Préparer un pentest**, puis la cible. 2. Choisissez et ordonnez les URL autorisées : l'ordre indique vos priorités. 3. Fournissez si nécessaire des comptes de test dédiés (voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance)). 4. Réglez, si vous le souhaitez, les **garde-fous** : chemins exclus (une consigne de test, sans blocage réseau), débit maximal demandé (de 1 à 50 requêtes par seconde, sans garantie réseau), mode prudent pour la production (opérations de lecture et données de test privilégiées ; des modifications restent possibles), et fenêtre de démarrage (jours, heures, fuseau), seule limite imposée par la plateforme. 5. Vérifiez la Guidance qui sera utilisée : c'est la version active de la cible. Le brouillon est conservé : vous pouvez revenir le compléter. ## Attester l'autorisation Avant le lancement, vous attestez, au nom de votre organisation : 1. que vous êtes habilité à l'engager et à autoriser ce test ; 2. qu'elle est propriétaire des adresses testées ou détient l'autorisation écrite et préalable de leur propriétaire, valable pendant toute la durée du test ; 3. que, lorsque c'est nécessaire, l'accord des tiers concernés (hébergeur, fournisseur cloud ou SaaS, CDN, pare-feu applicatif) a été obtenu et que leurs règles de test sont respectées ; 4. que vous comprenez que le test peut créer ou modifier des données de test, déclencher des alertes de sécurité ou ralentir temporairement l'application, et que des sauvegardes récentes existent ; 5. qu'elle répond de l'exactitude de cette autorisation, en fournira la preuve écrite sur demande et accepte que le test soit suspendu à tout moment. > [!IMPORTANT] > Cette attestation affichée au lancement ne remplace pas une autorisation juridique signée distincte entre vous et le propriétaire de l'application. Conservez cette autorisation de votre côté. ## Lancer Au lancement, SpectrAI revérifie en base le tenant, le rôle, le quota, la cible, la fraîcheur de la preuve (moins de 5 minutes), la Guidance, les URL et l'état du pentest, puis met la mission en file. Une évaluation disponible est débitée à ce moment ; un retest valide n'en débite aucune. La plateforme exécute les pentests l'un après l'autre : le vôtre peut attendre son tour. La page du pentest indique sa phase. ## Ce qui est débité, ce qui est rendu | Situation | Effet sur l'évaluation | |---|---| | Lancement d'un pentest complet | Une évaluation est consommée | | Lancement d'un retest de correction | Aucune évaluation ; le lot de retests est utilisé | | Annulation avant le démarrage effectif | L'évaluation est rendue | | Échec pour une cause plateforme, sans rapport publié ni reprise possible | L'évaluation est rendue | | Rapport publié | L'évaluation est consommée | | Perte du relais pendant un scan interne | Rien n'est rendu : la relance est couverte | ## Pentests planifiés Depuis la fiche de la cible, vous pouvez planifier un pentest récurrent, chaque mois ou chaque trimestre, avec son niveau, son périmètre et sa date de premier lancement, en acceptant l'autorisation pour chaque lancement du planning. Une évaluation est débitée à chaque lancement ; un rappel est envoyé 3 jours avant. Le planning se met en pause, avec notification, si aucune évaluation n'est disponible, si la preuve de contrôle a expiré, si la Guidance manque ou si l'autorisation n'est plus valable. Les pentests planifiés ne reçoivent aucun compte de test. ## Après le lancement Ce qui se passe sur votre application est décrit dans [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test) ; la progression dans [Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite). --- # Pendant le test - URL: https://docs.spectr-ai.eu/pentest-externe/pendant-le-test - Markdown: https://docs.spectr-ai.eu/pentest-externe/pendant-le-test.md - Language: fr - Section: Pentest externe - Type: Explication (explanation) - Audience: Lecteurs techniques (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce qui se passe sur votre application pendant un pentest SpectrAI : trafic réel, données de test, alertes, pare-feu et CDN, environnement recommandé, techniques interdites et ce que les garde-fous garantissent ou non. ## Du trafic réel sur votre application Les agents envoient de vraies requêtes HTTP(S) aux URL autorisées, avec les comptes de test fournis : navigation, formulaires, API, enchaînements d'actions. Un test peut donc : - créer ou modifier des données de test (comptes, enregistrements, fichiers) ; - déclencher les alertes de vos outils de sécurité et remplir vos journaux ; - ralentir temporairement l'application. C'est l'objet de l'attestation acceptée au lancement, et la raison pour laquelle des sauvegardes récentes doivent exister. ## Choisir l'environnement Un environnement de recette isolé, alimenté en données de test, est recommandé : il évite les effets de bord sur vos données réelles et sur vos clients. Si vous testez la production, activez le **mode prudent** dans les garde-fous du pentest (opérations de lecture et données de test privilégiées ; des modifications restent possibles) et évitez les parcours qui envoient des messages ou des paiements réels en les plaçant dans les exclusions et dans les techniques interdites de la Guidance. ## Pare-feu applicatif, CDN et limitation de débit Les protections en amont (pare-feu applicatif, CDN, anti-bot, limitation de débit) voient le trafic de test comme du trafic d'attaque. Elles peuvent bloquer les agents, et le rapport ne couvre alors que ce qui a été atteint. Avant de lancer : - obtenez l'accord des tiers concernés et respectez leurs règles de test (c'est l'un des points de l'attestation) ; - si votre application filtre par adresse IP ou par règle de pare-feu, écrivez-nous depuis la [page de contact](https://spectr-ai.eu/contact?request=pentest) avant le lancement pour convenir du passage ; - indiquez dans la Guidance les protections en place : les agents les prennent en compte. Le **débit maximal demandé** (de 1 à 50 requêtes par seconde) est une consigne de test ; il n'est pas garanti au niveau réseau. ## Techniques interdites La Guidance porte une liste de techniques interdites, préremplie avec : déni de service, suppression de données, envoi de messages ou de paiements réels, accès à des services tiers hors périmètre. Complétez-la selon votre contexte. Les agents la respectent comme une consigne ; le confinement réseau reste celui du périmètre autorisé. ## Ce qui est borné par la plateforme | Élément | Nature | |---|---| | Périmètre | Les URL autorisées en externe, le mandat en interne : une destination hors périmètre est refusée avant d'être contactée. | | Fenêtre de démarrage | Imposée par la plateforme : le pentest ne démarre que dans les jours et heures choisis. | | Durée et consommation | Limites internes gérées par SpectrAI ; la page du pentest indique l'heure de fin au plus tard. | | Chemins exclus, débit, mode prudent | Consignes de test, sans blocage réseau. | ## Comptes de test pendant l'exécution Les comptes de test transitent en clair dans le moteur de test et le modèle qui le pilote pendant l'exécution, puis sont expurgés des preuves et purgés. Révoquez-les après le test. ## Arrêter un test Vous pouvez annuler un pentest à tout moment depuis sa page ; l'évaluation est rendue seulement s'il n'avait pas encore effectivement démarré. Un site interne peut aussi révoquer son mandat, ce qui arrête les tests en cours sur ce site sans publier leurs résultats. ## Ce que SpectrAI ne fait pas - Aucune liste publique d'adresses IP source n'est fournie : convenez du passage avec nous si vous filtrez par adresse. - Aucune promesse de couverture exhaustive ni d'absence de faux positifs : seules les faiblesses démontrées sont publiées, et un retest ne vérifie pas un correctif. --- # Suivre l'activité - URL: https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite - Markdown: https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite.md - Language: fr - Section: Pentest externe - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Lire la page d'un pentest en cours : les quatre phases, la durée et l'heure de fin au plus tard, le plan de tests, les surfaces testées, la dernière activité, l'annulation et la reprise. ## Ce que montre la page du pentest Pendant l'exécution, la page **Progression du pentest** s'actualise toutes les 15 secondes et présente : | Élément | Contenu | |---|---| | Phases | Préparation, Analyse du périmètre, Tests en cours, Rédaction du rapport. Elles n'avancent que dans un sens ; la phase courante est détaillée en une phrase. | | En ce moment | L'activité en cours : préparation de l'environnement, lecture du périmètre, tests actifs, planification, coordination de vérifications en parallèle, documentation, clôture. | | Plan de tests | Le nombre de vérifications terminées sur le total, et celles en cours. Le plan s'enrichit pendant le pentest : le total peut augmenter. | | Durée et fin | La durée écoulée et l'heure à laquelle les tests se terminent au plus tard. | | Surfaces testées | Les surfaces déjà traitées et les dernières en date. | | Dernière activité | Le temps écoulé depuis la dernière activité enregistrée. | Ce résumé est tout ce que le suivi client reçoit. Le modèle employé, la consommation et les traces d'exécution restent internes à SpectrAI. ## Aucune activité depuis un moment Certaines vérifications sont longues. Quand aucune activité n'est enregistrée depuis plusieurs minutes, la page le signale. Si rien ne change avant l'heure de fin au plus tard, le pentest est clôturé automatiquement et ses résultats vérifiés sont publiés. ## Notifications Vous êtes prévenu dans l'application et, selon vos préférences, par e-mail quand le rapport est publié ou quand le pentest est interrompu. La page du pentest l'annonce aussi dès la publication. Voir [Notifications](https://docs.spectr-ai.eu/compte-et-securite/notifications). ## Annuler Vous pouvez annuler un pentest en cours. S'il n'avait pas encore effectivement démarré, l'évaluation est rendue. S'il avait démarré, elle est consommée. ## Reprendre Quand une tentative s'interrompt pour une cause éligible (par exemple un incident de plateforme ou une perte du relais), la page propose **Reprendre le pentest**. La reprise crée une nouvelle tentative sur la même mission, sans débiter une nouvelle évaluation. Si aucune reprise n'est possible et qu'aucun rapport n'a été publié, l'évaluation est rendue. Seuls les résultats de la dernière tentative réussie, complète et cohérente vous sont présentés : une tentative interrompue ne publie rien. ## Durée et limites La durée dépend de l'application. Des limites de consommation et de durée sont gérées par SpectrAI ; elles sont des garde-fous internes, pas une promesse de couverture exhaustive. Les pentests sont exécutés l'un après l'autre : un pentest en file affiche sa phase d'attente. ## Après la fin À la fin de la tentative, les contrôles de preuves, de périmètre et de cohérence s'exécutent, puis le rapport est publié automatiquement, même sans finding. Voir [Le rapport](https://docs.spectr-ai.eu/resultats/rapport). --- # Scans internes - URL: https://docs.spectr-ai.eu/scans-internes - Markdown: https://docs.spectr-ai.eu/scans-internes.md - Language: fr - Section: Scans internes - Type: Explication (explanation) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Tester des applications privées depuis l'intérieur de votre réseau : le relais, son installation, le mandat qui borne les tests et le lancement d'un scan interne jusqu'au rapport automatique. Un scan interne teste une application que seul votre réseau atteint. Vous déclarez un site (vos plages d'adresses privées), vous installez un agent sur une machine de ce site, il apparaît dans **Sites et agents**, vous posez une autorisation de test (le mandat : application, sous-domaines éventuels, ports HTTPS, date de fin), puis vous lancez. Le rapport arrive automatiquement, comme pour un pentest externe. > [!NOTE] > Les scans internes sont activés par SpectrAI sur votre espace, après accord sur le périmètre et le déploiement du relais. Tant qu'ils ne le sont pas, le choix « Application interne » reste indisponible à la création d'une cible : écrivez-nous depuis la [page de contact](https://spectr-ai.eu/contact?request=internal). > [!IMPORTANT] > Le relais doit rester disponible pendant toute la durée du test. Après une perte du relais, les résultats partiels sont conservés et la reprise est explicite. --- # Le relais - URL: https://docs.spectr-ai.eu/scans-internes/relais - Markdown: https://docs.spectr-ai.eu/scans-internes/relais.md - Language: fr - Section: Scans internes - Type: Explication (explanation) - Audience: Lecteurs techniques (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Comment fonctionne le relais des scans internes : un agent installé chez vous, une image signée, un mandat appliqué au niveau réseau et des destinations hors mandat jamais testées. ## Le problème Une partie de vos applications n'est pas exposée sur Internet : intranet, outils métier, consoles d'administration, services entre machines. Un pentest externe ne les atteint pas. Le relais permet de les tester depuis l'intérieur de votre réseau, avec le même moteur, les mêmes preuves et le même rapport. ## Les pièces | Pièce | Rôle | |---|---| | Site | Un réseau interne que vous déclarez dans **Sites et agents**, avec de 1 à 16 plages IPv4 privées (CIDR dans `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` ou `100.64.0.0/10`). Les déclarer n'autorise pas à les scanner. IPv6 est désactivé. | | Agent | Un conteneur Docker installé sur une machine du site. Il n'ouvre aucun port : il se connecte uniquement vers SpectrAI, en HTTPS sortant, directement ou par le proxy de l'entreprise. | | Mandat | L'autorisation de test d'une application à travers ce site : nom d'hôte, sous-domaines inclus ou non, ports HTTPS, durée de validité, révision signée par un membre de votre équipe. | | Egress relay | Le composant côté SpectrAI qui applique le mandat : seules les destinations autorisées sont relayées. | ## Le modèle de confiance - L'image de l'agent est signée et distribuée depuis `relay.spectr-ai.eu`. L'installateur vérifie son empreinte et sa signature avant de lancer l'agent. - Un agent est **prêt** quand il s'est connecté à SpectrAI dans les 90 dernières secondes. Sans agent prêt, aucun test ne passe par le site. - Le mandat est une **politique réseau**, appliquée par l'egress relay avec des résolutions DNS et des adresses bornées par site. Elle ne repose pas sur une consigne donnée aux agents de test. - Seule l'application du mandat est testée. Une destination hors mandat découverte pendant le test devient une suggestion à valider, jamais un test. - Le mandat a une date de fin. Sans autorisation en cours, aucun test ne peut être lancé sur le site. Il peut aussi être révoqué à tout moment. ## Ce que l'agent voit L'agent relaie du trafic HTTP(S) vers les destinations du mandat. Les comptes de test fournis pour le scan transitent, pendant l'exécution, en clair dans le moteur de test et le modèle qui le pilote, comme pour un pentest externe : utilisez des comptes dédiés et révocables. ## Disponibilité pendant le test Le relais doit rester disponible pendant toute la durée du test : machine allumée, conteneur en cours d'exécution, connexion sortante vers SpectrAI. Si l'agent se déconnecte : - les résultats déjà collectés sont conservés ; - le pentest s'arrête et propose une reprise explicite une fois l'agent revenu ; - la perte du relais ne rend pas l'évaluation : la relance est couverte. ## Ce qui n'est pas couvert - Le scan interne cible l'application web nommée dans le mandat ; il ne couvre pas un balayage des plages déclarées, des adresses IP nues ou des protocoles non web. - Le périmètre d'un scan interne est son mandat, pas « tout le réseau ». Voir aussi [Installer le relais](https://docs.spectr-ai.eu/scans-internes/installer-le-relais) et [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions). --- # Installer le relais - URL: https://docs.spectr-ai.eu/scans-internes/installer-le-relais - Markdown: https://docs.spectr-ai.eu/scans-internes/installer-le-relais.md - Language: fr - Section: Scans internes - Type: Guide pratique (how-to) - Audience: Lecteurs techniques (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Déclarer un site, installer l'agent Docker sur une machine du réseau avec les commandes fournies par l'application, le voir apparaître prêt, vérifier la joignabilité et le maintenir disponible pendant les tests. ## Prérequis - Les scans internes activés par SpectrAI sur votre espace (voir [Scans internes](https://docs.spectr-ai.eu/scans-internes)). - Une session vérifiée par second facteur : ajouter un site, un agent ou une autorisation le demande. - Docker sur une machine du site : Linux, macOS ou Windows avec Docker Desktop. La machine reste allumée pendant les tests. - Un accès sortant HTTPS vers la passerelle SpectrAI, direct ou par le proxy de l'entreprise. L'agent n'ouvre aucun port entrant. - L'accès réseau depuis cette machine vers les applications à tester. ## 1. Déclarer le site 1. Ouvrez **Sites et agents** dans l'espace client. 2. Choisissez **Ajouter un site**, nommez-le (par exemple « Siège Lyon ») et déclarez ses plages IPv4 privées : de 1 à 16 plages CIDR dans `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` ou `100.64.0.0/10`. Déclarer des plages n'autorise pas à les scanner : c'est le mandat qui autorise une application. ## 2. Inscrire un agent 1. Dans le site, choisissez **Ajouter un agent** puis **Générer le jeton et les commandes**. 2. Copiez les commandes affichées tout de suite : le jeton à usage unique n'est affiché qu'une fois et expire au bout de 15 minutes. 3. Exécutez les commandes sur la machine du site. L'installateur télécharge l'image signée, vérifie son empreinte et sa signature, vous demande le code d'inscription, lance l'agent et le configure pour redémarrer avec la machine. 4. À la fin, l'installateur affiche l'identifiant de l'agent : c'est celui qui apparaît dans la liste des agents du site. > [!WARNING] > Collez le code d'inscription uniquement quand l'installateur le demande. Il ne doit figurer ni dans la commande, ni dans l'historique du terminal, ni dans les variables Docker. S'il a expiré ou a déjà servi, générez-en un nouveau. Derrière un proxy d'entreprise, ajoutez `--proxy http://proxy:port` à la fin de la commande. Sur Linux, préfixez-la par `sudo` si votre compte n'a pas accès à Docker. ## 3. Vérifier que l'agent est prêt L'agent apparaît dans la liste du site sans recharger la page, prêt en moins d'une minute. Il est **prêt** quand il s'est connecté dans les 90 dernières secondes ; la ligne indique sa date d'inscription et son dernier contact. Si aucun agent n'est connecté, vérifiez que la machine est allumée et que le conteneur tourne, consultez ses journaux, ou inscrivez un nouvel agent. ## 4. Autoriser les tests Posez ensuite le mandat : voir [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions). Sans mandat en cours, aucun test ne passe par le site. ## 5. Vérifier la joignabilité Une fois un agent prêt et un mandat en cours, **Vérifier la joignabilité** demande à l'agent d'ouvrir une seule connexion TCP vers l'hôte et le port d'une adresse couverte par le mandat. Rien n'est envoyé à l'application et aucun test n'est lancé. Le résultat (joignable, injoignable, refusée, expirée) et son explication restent dans l'historique du site. ## Maintenir le relais - Gardez la machine allumée et le conteneur actif pendant toute la durée d'un scan. - Si l'agent se déconnecte pendant un scan, les résultats partiels sont conservés et la reprise est proposée une fois l'agent revenu. - Plusieurs agents peuvent être inscrits sur un même site ; la liste indique combien sont prêts. ## Retirer un agent Arrêtez et supprimez le conteneur sur la machine. Un agent qui ne se connecte plus n'est plus prêt ; sans agent prêt, aucun test ne passe par le site. --- # Le mandat de test - URL: https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions - Markdown: https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions.md - Language: fr - Section: Scans internes - Type: Guide pratique (how-to) - Audience: Lecteurs techniques (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Définir l'autorisation de test d'un site interne : l'application, les sous-domaines, les ports HTTPS et la durée. Comment le mandat est appliqué, ce qu'il ne permet pas, comment le modifier ou le révoquer. Le mandat est l'autorisation de test d'une application à travers un site. Il est appliqué comme une politique réseau : ce qui n'y figure pas n'est jamais testé. ## Composer le mandat 1. Dans le site, choisissez **Autoriser les tests**. 2. Indiquez le **nom d'hôte de l'application**, sans schéma ni chemin (par exemple `intranet.exemple.local`). Les adresses IP ne sont pas acceptées. 3. Choisissez si les **sous-domaines** sont inclus : l'autorisation couvre alors aussi tous les noms sous cet hôte. 4. Précisez les **ports HTTPS** à autoriser, séparés par des virgules (par exemple `443, 8443`). 5. Fixez la **durée de validité**, de 1 à 366 jours. 6. Confirmez. La révision est enregistrée avec son signataire et sa date. Chaque modification crée une nouvelle révision ; la révision en cours est affichée avec « autorisée par » et sa date. ## Ce que le mandat garantit | Règle | Effet | |---|---| | Hors mandat, jamais testé | Seule l'application du mandat est testée. Une destination hors de ce périmètre découverte pendant le test devient une suggestion à valider, jamais un test. | | Le contenu n'élargit rien | Un lien, une redirection ou une réponse rencontrée pendant le scan n'autorise jamais une destination hors mandat. | | DNS et adresses bornés | Les résolutions et les adresses atteintes sont limitées au site. | | Date de fin | Sans autorisation en cours, aucun test ne peut être lancé. Une notification prévient de l'échéance. | ## Exclusions Le mandat est une liste d'autorisation : il n'a pas de liste d'exclusions. Pour écarter une partie de l'application, utilisez les exclusions explicites de la cible (chemins ou hôtes HTTPS à laisser hors du pentest) et les chemins exclus des garde-fous du pentest. Ce sont des consignes de test ; le confinement réseau reste celui du mandat. Voir [Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test). ## Modifier **Modifier l'autorisation** crée une nouvelle révision qui remplace l'autorisation en cours pour les prochains tests. Les tests déjà lancés gardent la révision avec laquelle ils sont partis. ## Révoquer **Révoquer le mandat** met fin immédiatement à l'autorisation en cours : les tests en cours sur le site sont arrêtés au prochain contrôle du moteur et leurs résultats ne sont pas publiés ; tout nouveau lancement, brouillon ou complément est refusé jusqu'à une nouvelle autorisation. Les rapports déjà publiés restent inchangés. ## Ce que le mandat ne permet pas - Autoriser « tout le réseau » ou une plage d'adresses : le mandat nomme une application et ses éventuels sous-domaines. - Tester des adresses IP nues ou des protocoles non web. - Contourner la preuve de contrôle d'une application externe : un scan interne vise des services privés. ## Compléments dans la fenêtre de soixante jours Après un rapport interne, des destinations découvertes dans le mandat peuvent vous être proposées pour un test ciblé, dans les soixante jours. Les approuver consomme une part de l'enveloppe réservée à ces compléments, jamais un lot de retests ni la seconde évaluation annuelle. Un nom d'hôte que l'autorisation exclut ne peut pas devenir un complément. Passé la fenêtre, les suggestions expirent et aller plus loin demande une nouvelle commande. --- # Lancer un scan interne - URL: https://docs.spectr-ai.eu/scans-internes/lancer-un-scan-interne - Markdown: https://docs.spectr-ai.eu/scans-internes/lancer-un-scan-interne.md - Language: fr - Section: Scans internes - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Créer une application interne rattachée à un site dont l'agent est prêt et le mandat en cours, préparer et lancer le pentest, suivre le scan, gérer une déconnexion du relais et recevoir le rapport. ## Prérequis - Les scans internes activés par SpectrAI sur votre espace. - Un site avec au moins un agent **prêt** (connecté dans les 90 dernières secondes). - Un mandat en cours couvrant l'application à tester. - Une évaluation disponible. ## Lancer 1. Dans **Cibles**, ajoutez une cible et choisissez **Application interne (via agent)**, puis le site. L'URL doit être couverte par le mandat du site (hôte, sous-domaines éventuels, ports). 2. Rédigez et publiez sa Guidance (voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance)). 3. Dans **Pentests**, préparez le pentest sur cette cible. Les URL choisies sont les points de départ ; un pentest d'application interne ne contient que des URL du même site, couvertes par son autorisation. 4. Fournissez les comptes de test si nécessaire, acceptez l'attestation d'autorisation et lancez. Le lancement vérifie que l'agent est prêt et que le mandat couvre les URL. Une évaluation disponible est débitée. ## Pendant le scan La page du pentest montre les phases, la durée, l'heure de fin au plus tard, les surfaces testées et la dernière activité, comme pour un pentest externe (voir [Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite)). Gardez l'agent connecté. ## Si le relais se déconnecte - Le pentest s'arrête et les résultats déjà collectés sont conservés. - Rétablissez l'agent (machine, conteneur, réseau sortant), puis choisissez **Reprendre le pentest**. - La reprise crée une nouvelle tentative sur la même mission ; la perte du relais ne rend pas l'évaluation. ## Le rapport À la fin, les contrôles de preuves, de périmètre et de cohérence s'exécutent et le rapport est publié automatiquement, exportable en PDF. Les findings et chemins d'attaque sont lisibles dans l'application. Voir [Le rapport](https://docs.spectr-ai.eu/resultats/rapport). ## Retests et compléments Comme pour un pentest externe, deux lots de retests sont inclus dans les soixante jours du rapport. Des destinations découvertes dans le mandat peuvent aussi être proposées pour un test ciblé dans cette fenêtre (voir [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions)). --- # Résultats - URL: https://docs.spectr-ai.eu/resultats - Markdown: https://docs.spectr-ai.eu/resultats.md - Language: fr - Section: Résultats - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce que produit un pentest terminé : des findings avec leurs preuves, des chemins d'attaque, un rapport figé, deux lots de retests de correction et un index de preuves NIS2. Un pentest terminé publie automatiquement ses résultats : les findings démontrés et leurs preuves, les chemins d'attaque dérivés, puis le rapport final, figé et exportable. Deux lots de retests de correction sont inclus dans les soixante jours. L'index NIS2 organise les preuves selon des contrôles choisis, sans prétendre à une attestation. > [!NOTE] > Ce qui n'a pas été démontré n'est pas publié. Un rapport sans finding est un rapport normal : il atteste qu'aucune faiblesse n'a été prouvée dans le périmètre et le temps du test, pas que l'application est sûre. --- # Findings et preuves - URL: https://docs.spectr-ai.eu/resultats/findings-et-preuves - Markdown: https://docs.spectr-ai.eu/resultats/findings-et-preuves.md - Language: fr - Section: Résultats - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Lire un finding publié : sévérité CVSS, classification CWE, description, impact, recommandation et preuves HTTP expurgées. Suivre sa correction dans l'application. ## Ce qu'est un finding Un finding est une faiblesse démontrée pendant le pentest. Il n'est publié que si une preuve l'accompagne et s'il a passé les contrôles automatiques de périmètre, de rédaction et de cohérence de la tentative. Dans l'application, la page **Vulnérabilités** les liste pour l'espace client ; la page d'un pentest montre les siens. ## Les champs d'un finding | Champ | Contenu | |---|---| | Sévérité | Le niveau (critique, élevée, moyenne, faible, information) et le score CVSS. | | Classification | Le CWE de la faiblesse. | | Description | Ce qui a été démontré, où, et comment. | | Impact | Ce qu'un attaquant obtiendrait. | | Recommandation | Les pistes de correction. | | Preuves | Les requêtes et réponses HTTP expurgées, la preuve de concept ou les artefacts. | | Confiance | L'appréciation de la fiabilité de la démonstration. | | Cible et date | La cible autorisée exacte et la date de détection. | Un même finding retrouvé dans plusieurs pentests de la même cible est présenté avec ses occurrences. Un finding absent du dernier rapport est signalé comme tel. ## Les preuves Les preuves sont expurgées avant leur persistance : secrets, jetons et comptes de test en sont retirés. Les requêtes et réponses se lisent dans l'application avec un lecteur de code ; un artefact (par exemple une capture) est joint quand il existe. Les traces brutes d'exécution, les chemins de travail internes et les identifiants techniques ne sont jamais exposés. ## Suivre la correction Chaque finding dispose d'un suivi de correction : un statut, une note, un responsable, une échéance et, pour un risque accepté, une date de réexamen (au plus tard dans un an). Les commentaires et l'historique des actions sont conservés. Votre rôle détermine si vous pouvez modifier ce suivi ou seulement le lire. | Statut | Signification | |---|---| | À corriger | La vulnérabilité reste à corriger. | | Corrigé | Le correctif est déployé. Si un prochain pentest retrouve la vulnérabilité, elle repasse « À corriger ». | | Risque accepté | Le risque est assumé en connaissance de cause, avec une date de réexamen. | | Faux positif | La preuve ne s'applique pas à votre contexte ; la raison est obligatoire. | Une notification rappelle une échéance de correction atteinte et une date de réexamen atteinte. Un finding retrouvé après avoir été déclaré corrigé est signalé comme réouvert, avec le nombre de fois où cela s'est produit. ## Faire vérifier une correction Préparez un lot de retests à partir des findings corrigés : voir [Retests de correction](https://docs.spectr-ai.eu/resultats/retests). Le résultat du contre-test apparaît dans le suivi du finding : « la vulnérabilité n'a pas été reproduite » ou « la vulnérabilité est toujours présente ». ## Exporter La vue courante des findings s'exporte en Markdown depuis la page **Vulnérabilités**. Le rapport final, lui, s'exporte en PDF (voir [Le rapport](https://docs.spectr-ai.eu/resultats/rapport)). > [!NOTE] > Le mapping CVSS et CWE structure le livrable. Il ne remplace ni votre analyse de risque, ni un audit réglementaire. --- # Chemins d'attaque - URL: https://docs.spectr-ai.eu/resultats/chemins-d-attaque - Markdown: https://docs.spectr-ai.eu/resultats/chemins-d-attaque.md - Language: fr - Section: Résultats - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Comment SpectrAI relie les findings prouvés en chemins d'attaque, ce que signifie la provenance de chaque étape, et pourquoi un chemin n'ajoute aucune hypothèse aux preuves. ## Définition Un chemin d'attaque est un enchaînement démontré de findings : chaque étape s'appuie sur une preuve liée, et le chemin montre comment des faiblesses prises séparément se combinent. La page d'un pentest les présente dans **Chemins d'attaque prouvés** ; le rapport les reprend. ## Comment ils sont établis Les chemins sont dérivés des findings et de leurs preuves une fois la tentative terminée et cohérente. Ils sont une projection déterministe des preuves : la même tentative donne toujours les mêmes chemins. Ils ne contiennent aucune étape supposée. Chaque étape indique : - le finding sur lequel elle repose et ses preuves liées ; - la cible autorisée exacte concernée ; - la tentative dont elle provient (la **provenance**). ## Lire un chemin Un chemin se lit du premier accès obtenu vers l'impact. Un pentest peut n'en produire aucun : « Aucun chemin d'attaque prouvé » signifie que les findings publiés ne se combinent pas de façon démontrée, pas qu'une combinaison est impossible. Le rapport propose, pour chaque chemin, une carte des étapes reliée aux findings et à leurs preuves. ## Limites des chemins - Un chemin ne modélise pas des menaces théoriques : seules les étapes prouvées figurent. - Un chemin ne mesure pas une probabilité : il n'est pas « plus probable » qu'un autre. - Les chemins ne garantissent pas l'exhaustivité : d'autres combinaisons peuvent exister hors de ce qui a été démontré. --- # Le rapport - URL: https://docs.spectr-ai.eu/resultats/rapport - Markdown: https://docs.spectr-ai.eu/resultats/rapport.md - Language: fr - Section: Résultats - Type: Guide pratique (how-to) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Le rapport final d'un pentest : publication automatique, contenu, versions figées, export PDF, lien de partage révocable, marque, et ce qu'il contient quand aucun finding n'a été prouvé. ## Publication Le rapport est publié automatiquement à la fin de la tentative, après les contrôles de preuves, de périmètre et de cohérence. Aucune validation humaine n'intervient. Un rapport est publié même sans finding. Vous êtes prévenu dans l'application et, selon vos préférences, par e-mail. ## Contenu | Partie | Contenu | |---|---| | Synthèse exécutive | Le verdict (« Action requise » ou « Aucune exposition prouvée »), le nombre de findings prouvés, de preuves et de chemins. | | Périmètre et conditions | La cible autorisée exacte, la Guidance utilisée, la date de finalisation, la tentative présentée. | | Findings | Chaque finding avec sévérité, CWE, description, impact, recommandation et preuves. | | Chemins d'attaque | Les enchaînements prouvés et leur provenance. | | Couverture | Les surfaces testées. | | Index NIS2 | Les preuves classées selon des contrôles choisis (voir [Index NIS2](https://docs.spectr-ai.eu/resultats/nis2)). | | Limites | Ce que le test ne couvre pas, écrit dans le rapport lui-même. | ## Un document figé Chaque rapport est un instantané : données, marque et limites sont figées à la publication. Les exports relisent ce même instantané, jamais les artefacts bruts d'exécution. Un rapport publié ne change pas ; un nouveau pentest produit un nouveau rapport. La page **Rapports** montre le dernier rapport publié puis l'historique. ## Exporter en PDF Depuis le rapport, téléchargez le PDF. Il reprend le même contenu que la version en ligne, sous la marque de l'espace client (SpectrAI ou celle de votre partenaire). ## Partager par un lien 1. Depuis le rapport, choisissez **Partager**. 2. Choisissez la durée du lien, puis créez-le. 3. Copiez le lien et transmettez-le. Le lien ouvre cette version du rapport en lecture seule, sans compte. Il expire à la date choisie et peut être révoqué à tout moment ; vous pouvez ensuite en créer un nouveau. Les pages de rapport partagé ne sont pas indexées par les moteurs de recherche. > [!WARNING] > Un lien de partage donne accès aux preuves. Transmettez-le par un canal de confiance et révoquez-le quand il n'est plus nécessaire. ## Marque Pour un client d'un partenaire en marque blanche, le rapport porte le nom et le logo du partenaire. Voir [Marque blanche](https://docs.spectr-ai.eu/partenaires/marque-blanche). ## Rapport sans finding Un rapport sans finding atteste qu'aucune faiblesse n'a été prouvée dans le périmètre et pendant la durée du test. Il ne prouve pas l'absence de faiblesse. Sans finding, il n'y a rien à retester ; pour un scan interne, les compléments proposés dans la fenêtre de soixante jours restent possibles. --- # Retests de correction - URL: https://docs.spectr-ai.eu/resultats/retests - Markdown: https://docs.spectr-ai.eu/resultats/retests.md - Language: fr - Section: Résultats - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Faire vérifier vos corrections avec les deux lots de retests inclus dans les soixante jours de chaque rapport : préparer un lot, le lancer, lire son verdict et comprendre ses limites. ## Ce qui est inclus Chaque rapport ouvre droit à deux lots de retests de correction, dans les soixante jours qui suivent sa publication. Un lot regroupe les findings corrigés que vous voulez faire vérifier. Les lots sont distincts des évaluations : ils ne consomment jamais la seconde évaluation d'un programme annuel. Il n'y a pas de plafond au nombre de corrections dans un lot. Les droits des anciennes missions suivent leur contrat d'origine. ## Préparer un lot 1. Dans la page du pentest ou dans **Vulnérabilités**, sélectionnez les findings corrigés. 2. Choisissez **Préparer un lot de retests**. SpectrAI prépare pour chaque finding un test ciblé avec sa Guidance. 3. La préparation avance par étapes et reprend sans doublon après une interruption ; l'avancement est affiché. 4. Vérifiez les brouillons préparés, puis acceptez l'autorisation de lancement et lancez le lot. Les brouillons jamais lancés peuvent être annulés : annuler tous les brouillons d'un lot le libère. Supprimer un test déjà lancé ne restitue jamais le droit consommé. ## Lire le verdict Pour chaque finding du lot, le suivi de correction affiche le résultat du contre-test, daté : | Verdict | Signification | |---|---| | La vulnérabilité n'a pas été reproduite | Le test ciblé n'a pas retrouvé le finding d'origine. C'est un résultat non concluant : il ne prouve pas que la correction est correcte. | | La vulnérabilité est toujours présente | Le finding a été retrouvé. Le suivi le signale comme réouvert. | > [!IMPORTANT] > Un retest publie un résultat non concluant quand le finding n'est pas retrouvé ; il ne vérifie pas le correctif lui-même. SpectrAI n'émet pas de verdict « correction vérifiée ». ## Délais - Fenêtre de retests : soixante jours après la publication du rapport. - Rappel : une notification vous prévient quand la fenêtre se ferme dans 7 jours et qu'un lot inclus reste disponible. - Après épuisement des deux lots ou fermeture de la fenêtre, aucune correction supplémentaire n'est testée gratuitement : une nouvelle commande est nécessaire. ## Retests et scans internes Les lots s'appliquent de la même façon aux rapports des scans internes. Les compléments d'URL proposés dans la fenêtre de soixante jours utilisent une enveloppe distincte, jamais un lot de retests. --- # Index NIS2 - URL: https://docs.spectr-ai.eu/resultats/nis2 - Markdown: https://docs.spectr-ai.eu/resultats/nis2.md - Language: fr - Section: Résultats - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce qu'est l'index de preuves NIS2 d'un rapport SpectrAI, les contrôles de l'article 21 qu'il organise, et pourquoi il n'est ni une attestation ni une certification. ## Ce que c'est Chaque rapport comporte un index qui classe ses preuves selon des contrôles choisis de l'article 21 de la directive NIS2 (mesures de gestion des risques en cybersécurité). Pour chaque contrôle retenu, l'index indique quelles preuves du pentest s'y rapportent : un finding de contrôle d'accès, une preuve de configuration, une recommandation. ## À quoi il sert - Retrouver rapidement, dans un rapport, les éléments qui alimentent un dossier interne ou une discussion avec un auditeur. - Donner à une direction une lecture par thème, en plus de la lecture par sévérité. - Conserver, d'un rapport à l'autre, la même grille de lecture. ## Limites de l'index > [!IMPORTANT] > L'index NIS2 décrit un classement des preuves. Il n'atteste pas la conformité de votre organisation, ne remplace pas un audit réglementaire, une qualification ou une certification, et ne couvre pas les contrôles que le pentest d'une application ne peut pas observer (gouvernance, continuité d'activité, chaîne d'approvisionnement, formation). SpectrAI ne se présente pas comme un garant de votre conformité NIS2 et ne délivre aucune attestation. Si votre organisation est soumise à NIS2, l'index vous fournit des preuves techniques datées ; votre démarche de conformité reste la vôtre. ## Où le trouver Dans le rapport en ligne et dans son export PDF, dans la partie consacrée aux preuves de conformité. --- # Offres et commandes - URL: https://docs.spectr-ai.eu/offres-et-commandes - Markdown: https://docs.spectr-ai.eu/offres-et-commandes.md - Language: fr - Section: Offres et commandes - Type: Explication (explanation) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Le catalogue applicatif (pentest ponctuel ou programme annuel), ce que chaque évaluation comprend, comment commander depuis la fiche de l'application et comment fonctionne le programme annuel. Une commande couvre une application nommée, ses API associées et un environnement convenu. Deux prestations existent : le pentest ponctuel (une évaluation complète) et le programme annuel (deux évaluations complètes sur douze mois). Les prix ne sont pas publiés sur le site ; ils sont indiqués au moment de la commande, dans l'application. > [!NOTE] > Les offres antérieures au 17 octobre 2026 (devis, pools de missions) ne sont plus vendues mais restent honorées pour les contrats déjà acceptés. --- # Le catalogue - URL: https://docs.spectr-ai.eu/offres-et-commandes/catalogue - Markdown: https://docs.spectr-ai.eu/offres-et-commandes/catalogue.md - Language: fr - Section: Offres et commandes - Type: Référence (reference) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Pentest ponctuel ou programme annuel : ce que comprend chaque évaluation, ce qui distingue les deux prestations, et ce qu'aucune des deux n'est. ## Les deux prestations | | Pentest ponctuel | Programme annuel | |---|---|---| | Périmètre | Une application nommée, ses API associées, un environnement convenu | La même application, sur douze mois | | Évaluations complètes | Une | Deux : une au démarrage, une vers six mois ou à une date convenue | | Retests de correction | Deux lots dans les soixante jours du rapport | Deux lots dans les soixante jours de chaque rapport | | Règlement | Paiement unique | Prépaiement, ou douze mensualités fixes | | Engagement | Aucun après livraison | Douze mois, sans renouvellement automatique | ## Ce que comprend chaque évaluation - le cadrage : périmètre, environnement, Guidance ; - les tests assistés par IA dans le périmètre autorisé ; - la vérification automatisée des preuves ; - le rapport figé, exportable en PDF ; - la restitution des résultats ; - deux lots de retests de correction dans les soixante jours du rapport. Les lots de retests sont distincts des évaluations : ils ne consomment jamais la seconde évaluation annuelle. ## Limites du catalogue - Le catalogue ne propose ni surveillance active ni abonnement mensuel résiliable à tout moment. - Une commande nomme une application ; elle ne couvre pas un « réseau entier ». Les scans internes sont activés par SpectrAI sur l'espace client après accord sur le périmètre et le déploiement du relais. - Les adresses IP nues, les dépôts Git, le code uploadé et les pipelines CI ne sont pas couverts. ## Prix Les prix ne sont pas publiés sur le site. Ils sont affichés au moment de la commande, dans l'application, après confirmation de l'application et de l'environnement. Une édition de prix est figée dans le contrat accepté : un changement de prix ultérieur ne modifie jamais un contrat signé. ## Pour les partenaires Un cabinet partenaire commande pour un client et une application identifiés. SpectrAI facture le partenaire, qui fixe sa revente et facture son client. Voir [Commandes partenaires](https://docs.spectr-ai.eu/partenaires/commandes-partenaires). --- # Commander une évaluation - URL: https://docs.spectr-ai.eu/offres-et-commandes/commander - Markdown: https://docs.spectr-ai.eu/offres-et-commandes/commander.md - Language: fr - Section: Offres et commandes - Type: Guide pratique (how-to) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Commander un pentest ponctuel ou un programme annuel depuis la fiche de l'application, payer par carte, reprendre ou annuler un paiement, suivre le contrat, retrouver ses factures et remplacer sa carte. ## Prérequis - Une cible dont la preuve de contrôle est valide et la Guidance active. - Le rôle administrateur dans l'espace client (ou, pour un partenaire, un administrateur autorisé au tarif partenaire). - Une carte de paiement professionnelle. ## 1. Choisir la prestation Depuis la fiche de l'application (**Cibles**, puis l'application), la section **Commander pour cette application** propose le pentest ponctuel (une évaluation complète, payée avant le lancement) ou le programme annuel (deux évaluations complètes de la même application sur douze mois), prépayé ou en douze mensualités. Le prix, en euros hors taxes par application et environnement convenus, est affiché ici, avant tout paiement. ## 2. Accepter le périmètre et les conditions Vous confirmez l'application et l'environnement, puis vous acceptez le prix, le périmètre et, pour l'annuel, l'engagement de douze mois et l'échéancier affiché, ainsi que les [conditions d'utilisation](https://spectr-ai.eu/conditions). La commande enregistre la version des conditions que vous avez lue ; une version périmée est refusée, rechargez la page et relisez-les. ## 3. Payer Le paiement se fait sur une page de paiement hébergée, par carte uniquement, avec votre identité professionnelle, votre adresse et votre numéro de TVA. Une facture est émise après le paiement. Pour un programme annuel mensualisé, vous donnez votre consentement explicite aux onze encaissements suivants ; un échéancier de onze mensualités est alors créé, sans treizième échéance. ## 4. Les droits s'ouvrent Le retour sur le site après paiement n'accorde rien par lui-même : ce sont la confirmation du paiement et son rapprochement qui ouvrent les droits. Cela prend généralement quelques minutes ; **Actualiser le paiement** relit l'état. Avant un lancement, un contrat dont le dernier contrôle date de plus de dix minutes est revérifié auprès du prestataire de paiement pour ne pas bloquer un client payé. ## Suivre le contrat La même section liste vos contrats avec leur état : paiement à terminer, actif, échéance impayée, vérification nécessaire, terminé, annulé. Pour un contrat annuel, elle indique la date de fin et la date convenue de la seconde évaluation. ## Reprendre ou annuler un paiement Si la page de paiement a expiré ou si le paiement a échoué, **Reprendre le paiement** rouvre la même tentative, sans doublon. **Annuler avant paiement** retire une commande non payée. Une commande en attente abandonnée depuis trente jours est annulée d'elle-même. ## Factures Chaque facture ou échéance du contrat est listée dans la section de commande de l'application, avec son lien. Une échéance qui reste à régler s'ouvre depuis cette liste pour confirmer le paiement auprès de votre banque ou choisir une autre carte ; les droits ne sont prolongés qu'après son paiement. Les factures restent accessibles même si une synchronisation de carte échoue ou si les nouveaux achats sont suspendus. ## Remplacer une carte (programme mensualisé) **Changer la carte des échéances** ouvre un portail dédié, réservé aux cartes. Il ne permet ni de changer d'offre, ni de résilier le contrat. Après remplacement, le moyen de paiement de l'échéancier est mis à jour sans prorata, ni nouvelle facture, ni changement de prix ou de date. ## Mensualités impayées Une mensualité impayée laisse les droits ouverts pendant une période de grâce de quelques jours, puis le contrat passe en vérification : les lancements sont suspendus jusqu'à régularisation. Un litige ou un remboursement place également le contrat en vérification ; un opérateur SpectrAI le résout avec justification. ## Remboursements SpectrAI n'effectue aucun remboursement automatique depuis l'application. Une évaluation est rendue au contrat (voir [Lancer un pentest](https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest)) quand un pentest est annulé avant son démarrage ou échoue pour une cause plateforme sans rapport ; cela ne constitue pas un remboursement. > [!NOTE] > Un paiement ne remplace jamais les contrôles techniques (preuve de contrôle, Guidance, autorisation) ni ne les contourne. --- # Le programme annuel - URL: https://docs.spectr-ai.eu/offres-et-commandes/programme-annuel - Markdown: https://docs.spectr-ai.eu/offres-et-commandes/programme-annuel.md - Language: fr - Section: Offres et commandes - Type: Explication (explanation) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Deux évaluations complètes de la même application sur douze mois : quand lancer la seconde, comment ajuster sa date convenue, ce qui se passe en fin de contrat et en quoi il diffère d'une surveillance active. ## Principe Le programme annuel est un engagement de services de douze mois sur une application nommée : une évaluation complète au démarrage, une seconde vers six mois ou à une date convenue. Chaque rapport ouvre droit à deux lots de retests dans les soixante jours. Il n'y a pas de renouvellement automatique. ## Règlement Prépaiement, ou douze mensualités fixes. Le premier encaissement précède le premier lancement. En mensualités, l'échéancier compte onze mensualités après la première, jamais de treizième. ## La seconde évaluation La seconde évaluation devient disponible à la date convenue. Le solde de l'application et le portefeuille partenaire l'indiquent ; une notification vous prévient quand elle est disponible. Un opérateur SpectrAI peut ajuster la date convenue à votre demande, avec justification et trace d'audit. ## Un seul programme par application Un second programme annuel est refusé sur une application dont le programme est actif, impayé ou en vérification. ## Fin du contrat Un contrat prépayé est terminé à la fin de son terme, ou quand ses deux évaluations sont consommées et réglées. Les lots de retests des rapports déjà publiés restent utilisables dans leur fenêtre de soixante jours, même après la fin du contrat. ## Limites du programme - Le programme n'inclut ni surveillance active ni tests permanents. - L'engagement est de douze mois : le programme ne se résilie pas d'un mois sur l'autre. - Les pentests planifiés (mensuels ou trimestriels) débitent une évaluation à chaque lancement ; un programme annuel n'en fournit que deux. --- # Partenaires - URL: https://docs.spectr-ai.eu/partenaires - Markdown: https://docs.spectr-ai.eu/partenaires.md - Language: fr - Section: Partenaires - Type: Explication (explanation) - Audience: Partenaires (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Pour les cabinets de sécurité, MSSP, MSP et infogérants : la console, les espaces clients, les rôles, la marque blanche et les commandes passées pour un client. Un cabinet partenaire gère plusieurs espaces clients depuis une console, y invite son équipe avec des rôles, livre les rapports sous sa marque et commande les évaluations pour ses clients. SpectrAI facture le partenaire ; le partenaire fixe sa revente et facture son client. > [!NOTE] > La publication des rapports est autonome pour les clients d'un partenaire comme pour les clients directs : aucune politique de validation n'est à choisir, et aucune personne ne retient un rapport avant sa livraison. --- # Console et espaces clients - URL: https://docs.spectr-ai.eu/partenaires/console - Markdown: https://docs.spectr-ai.eu/partenaires/console.md - Language: fr - Section: Partenaires - Type: Explication (explanation) - Audience: Partenaires (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Comment un partenaire travaille dans SpectrAI : la console, comment entrer dans un espace client et revenir à la console, les rôles admin, analyste et lecteur, et ce que chacun voit. ## Deux lieux de travail Un partenaire travaille soit dans sa **console**, soit dans un **espace client**, jamais dans les deux à la fois. | Lieu | Ce qu'on y fait | |---|---| | Console | **Vue d'ensemble** (prochaines actions, activité), **Clients** (portefeuille, affectations, commandes, historique), **Missions** (droits affectés), et en bas **Paramètres agence** (équipe, marque blanche). | | Espace client | Le même produit que pour un client direct : cibles, pentests, vulnérabilités, rapports, sites et agents, équipe du client, journal d'audit. | **Entrer dans l'espace** ouvre l'espace d'un client ; un bandeau rappelle le client courant. **Revenir à la console** le quitte. Le changement de client se fait depuis le sélecteur d'espace ou le portefeuille. ## Rôles de l'agence | Rôle | Portée | |---|---| | Admin | Gère les clients, l'équipe, la marque blanche et les missions. Accède à tous les clients. L'agence garde toujours au moins un administrateur. | | Analyste | Travaille dans les clients qui lui sont affectés : cibles, pentests, rapports. | | Lecteur | Consulte les clients qui lui sont affectés, sans rien lancer ni modifier. | Vous ne pouvez pas changer votre propre rôle : demandez-le à un autre administrateur. La base de données applique les droits, et l'interface suit les mêmes règles : le contexte choisi dans le navigateur ne confère aucun droit. ## Second facteur Ajouter un site, un agent ou une autorisation de test dans un espace client demande une session vérifiée par second facteur. Le second facteur est proposé une fois aux administrateurs ; il n'est jamais imposé. Voir [Connexion et second facteur](https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur). ## Ce que voit le client final Le client final d'un partenaire voit son espace sous la marque du partenaire. Il ne voit ni les prix de gros, ni les factures fournisseur, ni les autres clients du partenaire. Il ne peut pas commander pour le compte du partenaire. Voir [Espaces clients](https://docs.spectr-ai.eu/partenaires/espaces-clients), [Marque blanche](https://docs.spectr-ai.eu/partenaires/marque-blanche) et [Commandes partenaires](https://docs.spectr-ai.eu/partenaires/commandes-partenaires). --- # Espaces clients - URL: https://docs.spectr-ai.eu/partenaires/espaces-clients - Markdown: https://docs.spectr-ai.eu/partenaires/espaces-clients.md - Language: fr - Section: Partenaires - Type: Guide pratique (how-to) - Audience: Partenaires (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Créer un espace client, inviter le client et son équipe, affecter des analystes, préparer la première cible et suivre ce qui bloque, depuis la console du partenaire. ## Prérequis - Le rôle administrateur dans l'agence. ## Créer un espace client 1. Dans la console, ouvrez **Clients** puis **Ajouter un client**. 2. Nommez l'espace et renseignez les informations du client. 3. L'espace apparaît dans le portefeuille avec son état : cible à ajouter, preuve de propriété à terminer, aucun pentest lancé, opérationnel. ## Inviter des personnes - Pour l'équipe du partenaire, invitez un équipier depuis **Paramètres agence** avec son rôle (administrateur, analyste, lecteur). Les analystes et lecteurs ne voient que les clients que vous leur affectez. - Pour le client, l'onglet **Équipe** de l'espace client invite ses contacts. Chacun n'accède qu'à cet espace, jamais à celui d'un autre client. Une invitation expire à la date indiquée. ## Affecter des analystes Dans la fiche du client, affectez les analystes et lecteurs qui doivent y accéder. Un administrateur voit tous les clients sans affectation. ## Préparer la première cible Entrez dans l'espace, ajoutez la cible, lancez la preuve de contrôle et rédigez la Guidance, comme un client direct le ferait (voir [Votre premier pentest](https://docs.spectr-ai.eu/demarrer/premier-pentest)). Le client peut aussi le faire lui-même depuis son espace. ## Suivre ce qui bloque La **Vue d'ensemble** liste les clients qui ont besoin d'une action avant le prochain pentest : preuve de propriété à terminer, aucun pentest lancé, finding à examiner. Le portefeuille montre pour chaque client ses cibles, pentests, findings et sa dernière activité. ## Journal d'audit Chaque espace client a son journal d'audit, avec filtres par période, auteur et objet, et un export borné. Les actions sensibles (autorisation de test, partage de rapport, changement de rôle) y sont tracées. --- # Marque blanche - URL: https://docs.spectr-ai.eu/partenaires/marque-blanche - Markdown: https://docs.spectr-ai.eu/partenaires/marque-blanche.md - Language: fr - Section: Partenaires - Type: Guide pratique (how-to) - Audience: Partenaires (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Livrer SpectrAI sous votre marque : identité et logo, e-mails, aperçu, domaine personnalisé et expéditeur d'e-mails. Ce qui est automatique et ce qui demande une activation. ## Ce que couvre la marque blanche | Élément | Comportement | |---|---| | Nom et logo | Affichés dans l'espace client, les rapports en ligne et les PDF. | | Couleur d'accent | Appliquée à l'espace client avec un contraste calculé pour rester lisible. | | E-mails | Les notifications des clients portent le nom de la marque. Sans nom personnalisé, le nom enregistré du cabinet est utilisé. | | Domaine personnalisé | Un sous-domaine de votre choix pour l'espace client, après activation par SpectrAI. | L'identité SpectrAI n'apparaît pas dans l'espace d'un client en marque blanche ; les liens vers le site public SpectrAI n'y sont pas proposés. ## Configurer l'identité 1. Dans la console, ouvrez **Paramètres agence** puis **Marque blanche** (également accessible depuis l'onboarding). 2. Renseignez le nom, importez le logo et choisissez la couleur. 3. Vérifiez l'aperçu, puis enregistrez. L'onglet **E-mails** montre l'aperçu des messages envoyés aux clients. ## Domaine personnalisé L'activation d'un domaine est manuelle et se fait avec SpectrAI : 1. Saisissez, de préférence, un sous-domaine (par exemple `portail.votre-cabinet.fr`) dans l'onglet **Domaine**, et créez un enregistrement CNAME vers `spectr-ai.eu`. 2. SpectrAI vérifie le DNS, ajoute le domaine à sa configuration et le met en service avec un certificat valide. 3. Une fois le domaine actif, vos clients se connectent par ce domaine. Sur ce domaine, le manifeste et les icônes de l'application portent votre marque, et le site public SpectrAI n'est jamais servi. 4. Pour retirer un domaine, demandez d'abord son retrait du service, puis supprimez le DNS, pour éviter qu'un tiers ne reprenne le sous-domaine. > [!NOTE] > Aucun domaine partenaire réel n'a encore été exercé de bout en bout. Prévoyez une vérification commune avant d'annoncer le domaine à vos clients. ## Expéditeur d'e-mails Envoyer les e-mails depuis votre propre domaine demande un domaine d'envoi vérifié et lié à votre agence par SpectrAI. Sans cela, les messages partent de l'expéditeur de la plateforme, sous votre nom de marque. L'adresse d'expédition n'est pas une boîte surveillée ; les demandes de contact répondent à leur auteur. --- # Commandes partenaires - URL: https://docs.spectr-ai.eu/partenaires/commandes-partenaires - Markdown: https://docs.spectr-ai.eu/partenaires/commandes-partenaires.md - Language: fr - Section: Partenaires - Type: Guide pratique (how-to) - Audience: Partenaires (partner) - Published: 2026-11-01 - Updated: 2026-11-01 > Commander une évaluation pour un client identifié depuis la console, suivre les évaluations disponibles dans le portefeuille, comprendre la facturation entre SpectrAI, le partenaire et le client final. ## Principe Le partenaire commande pour un client et une application identifiés. SpectrAI facture le partenaire au tarif partenaire ; le partenaire fixe librement sa revente et facture son client. Le client final ne voit pas le tarif partenaire ni les factures fournisseur. Aucun minimum, niveau ou frais de plateforme ne s'applique. ## Prérequis - Le rôle administrateur dans l'agence, avec l'autorisation du tarif partenaire. - Une cible du client dont la preuve de contrôle est valide et la Guidance active. ## Commander 1. Entrez dans l'espace du client et ouvrez la fiche de l'application. 2. Choisissez le pentest ponctuel ou le programme annuel. Le tarif partenaire est affiché ici, côté serveur, uniquement aux administrateurs autorisés. 3. Acceptez les conditions et payez par carte sur la page hébergée, au nom du partenaire. Voir [Commander une évaluation](https://docs.spectr-ai.eu/offres-et-commandes/commander) pour le paiement, les mensualités et la reprise. ## Suivre le portefeuille Le portefeuille de la console montre, par client et par application, les évaluations disponibles : une application sans contrat propose une commande ; un contrat en attente, impayé ou dont la seconde évaluation est encore verrouillée propose son suivi plutôt qu'un nouvel achat. Une pause des ventes ne masque pas les contrats déjà acceptés. ## Missions historiques Les droits acquis avant le catalogue applicatif (pools de missions) restent utilisables et apparaissent dans **Missions**. Ils ne sont plus vendus. ## Ce que le client final peut faire Un client final authentifié peut lancer les pentests que son contrat couvre, lire ses résultats et préparer ses retests. Il ne peut ni acheter pour le partenaire, ni lire un autre espace. --- # Compte et sécurité - URL: https://docs.spectr-ai.eu/compte-et-securite - Markdown: https://docs.spectr-ai.eu/compte-et-securite.md - Language: fr - Section: Compte et sécurité - Type: Explication (explanation) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Connexion et second facteur, équipe et rôles d'un espace client, notifications dans l'application et par e-mail, et ce que SpectrAI fait de vos données. Cette section décrit la connexion (mot de passe puis second facteur), la gestion de l'équipe et des rôles d'un espace client, les notifications et leurs préférences, et le traitement des données : ce qui est conservé, ce qui est expurgé, ce qui est purgé, et ce que SpectrAI ne promet pas. --- # Connexion et second facteur - URL: https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur - Markdown: https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur.md - Language: fr - Section: Compte et sécurité - Type: Guide pratique (how-to) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Se connecter avec son mot de passe puis un second facteur (application d'authentification ou code par e-mail), activer ou retirer un facteur, réinitialiser son mot de passe, et ce qui est exigé selon le rôle. ## Se connecter 1. Saisissez votre e-mail et votre mot de passe. 2. Si un second facteur est enrôlé sur votre compte, choisissez-le à chaque connexion : le code de votre application d'authentification, ou un code à six chiffres envoyé par e-mail. Les deux peuvent coexister. Il n'existe ni lien magique, ni connexion par code seul : une boîte e-mail ne suffit jamais à ouvrir une session. ## Le second facteur | Facteur | Fonctionnement | |---|---| | Application d'authentification | Un code à usage unique généré par une application compatible (TOTP). | | Code par e-mail | Un code à six chiffres envoyé à votre adresse, valable dix minutes. Cinq essais au plus, un envoi par minute, six par heure. | ### Qui doit l'activer - Les clients et administrateurs de cabinet se le voient proposer une seule fois, après l'inscription ou la première connexion (« application », « code par e-mail » ou « plus tard »). Il n'est jamais imposé. - Les opérateurs de la plateforme SpectrAI doivent l'activer. Certaines actions demandent une session vérifiée par second facteur, par exemple ajouter un site, un agent ou une autorisation de test interne, ou certaines opérations d'une agence. L'application l'indique à l'endroit concerné. ### Activer, ajouter ou retirer un facteur Depuis **Mon compte**, section sécurité : - activez une application d'authentification en scannant le code affiché et en confirmant un code ; - activez le code par e-mail ; - retirez un facteur. Retirer le facteur e-mail demande une session vérifiée, et il est refusé tant qu'une application non reconnue reste active sur le compte. > [!TIP] > Enrôlez une application d'authentification même si vous utilisez le code par e-mail : vous gardez un accès si votre boîte e-mail est indisponible. ## Mot de passe oublié Demandez une réinitialisation depuis la page de connexion. Le lien reçu ouvre la page de nouveau mot de passe. Une réinitialisation suivie d'un code e-mail ne vaut pas une session vérifiée : connectez-vous ensuite normalement pour les actions qui l'exigent. ## Inscription et approbation L'inscription confirme l'adresse e-mail. Une inscription directe est approuvée automatiquement quand la vente du catalogue est ouverte à l'inscription ; sinon, la page d'attente l'explique jusqu'à l'approbation par un opérateur. Une invitation reçue d'un collègue ou d'un cabinet garde son propre parcours. --- # Équipe et rôles - URL: https://docs.spectr-ai.eu/compte-et-securite/equipe-et-roles - Markdown: https://docs.spectr-ai.eu/compte-et-securite/equipe-et-roles.md - Language: fr - Section: Compte et sécurité - Type: Référence (reference) - Audience: Clients (client) - Published: 2026-11-01 - Updated: 2026-11-01 > Inviter des personnes dans un espace client, choisir leur rôle (administrateur, membre, lecteur), comprendre ce que chaque rôle permet et lire le journal d'audit. ## Inviter Depuis **Équipe** dans l'espace client, invitez une personne par son adresse e-mail avec un rôle. L'invitation expire à la date indiquée ; la personne rejoint l'espace en l'acceptant. Une notification « membre rejoint l'organisation » est envoyée par e-mail selon vos préférences. Chaque personne n'accède qu'à cet espace, jamais à celui d'un autre client. ## Rôles d'un espace client | Rôle | Portée | |---|---| | Administrateur | Gère l'équipe, les cibles, les pentests, les commandes et les paramètres de l'espace. | | Membre | Prépare et lance les pentests : cibles, preuve de propriété, Guidance et suivi des corrections. | | Lecteur | Consulte les résultats publiés et les rapports, sans rien lancer ni modifier. | Le rôle se change depuis le menu du membre. Vous ne pouvez pas changer votre propre rôle. ## Équipe d'un partenaire Les rôles de l'agence (admin, analyste, lecteur) sont décrits dans [Console et espaces clients](https://docs.spectr-ai.eu/partenaires/console). Les analystes et lecteurs d'un partenaire voient l'espace client qui leur est affecté sans faire partie de son équipe. ## Journal d'audit **Journal d'audit** liste les actions de l'espace : qui, quoi, quand, sur quel objet. Filtrez par période, auteur et objet, puis exportez un extrait borné. Les actions sensibles (lancement, autorisation de test, partage de rapport, changements de rôle) y figurent. --- # Notifications - URL: https://docs.spectr-ai.eu/compte-et-securite/notifications - Markdown: https://docs.spectr-ai.eu/compte-et-securite/notifications.md - Language: fr - Section: Compte et sécurité - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Les notifications de SpectrAI dans l'application et par e-mail, les rappels envoyés une seule fois par événement, et comment régler ses préférences sans perdre les messages essentiels. ## Dans l'application Le centre de notifications de l'espace client signale les événements qui vous concernent : | Notification | Quand | |---|---| | Rapport prêt | À la publication automatique d'un rapport. | | Vulnérabilité critique | Quand un finding critique est publié sur une cible. | | Test interrompu | Quand un pentest a échoué ou est bloqué ; la notification mène à la raison et à la suite possible. | | Preuve de propriété à renouveler | 7 jours avant l'échéance des 90 jours. | | Fin proche de la fenêtre de retest | 7 jours avant la fin des soixante jours, s'il reste un lot inclus. | | Seconde évaluation disponible | À la date convenue du programme annuel. | | Pentest planifié d'ici trois jours | 3 jours avant un lancement planifié. | | Planning en pause | Quand un pentest planifié n'a pas pu démarrer : évaluation manquante, preuve à renouveler, Guidance manquante, autorisation invalide. | | Échéance de correction atteinte | Quand la date fixée dans le suivi d'un finding est atteinte. | | Risque accepté à réexaminer | Quand la date de réexamen d'un risque accepté est atteinte. | | Nouveau client | Dans la console d'un partenaire, quand un espace client est créé. | ## Par e-mail | Message | Quand | Réglable | |---|---|---| | Accès au compte, sécurité, invitation, code de second facteur | À l'événement | Non : messages essentiels, toujours envoyés | | Rapport publié | À la publication automatique du rapport | Oui | | Pentest interrompu | Quand un pentest échoue ou est bloqué | Oui | | Membre rejoint l'organisation | Quand une invitation est acceptée | Oui | | Fenêtre de retests qui se ferme | 7 jours avant la fin des soixante jours, s'il reste un lot inclus | Oui | | Seconde évaluation annuelle disponible | À la date convenue | Oui | | Preuve de contrôle qui expire | 7 jours avant l'échéance des 90 jours | Oui | Les rappels sont émis une seule fois par événement. Une adresse qui a rebondi ou s'est plainte est retirée des envois optionnels. ## Préférences Depuis **Mon compte**, section préférences e-mail : - un interrupteur général met en pause tous les e-mails produit optionnels sans modifier vos choix détaillés ; - chaque message optionnel peut être activé ou désactivé. Les messages essentiels (accès, sécurité, invitation) restent toujours envoyés. ## Expéditeur Les e-mails sont envoyés depuis le domaine de la plateforme, sous le nom de SpectrAI ou de votre partenaire en marque blanche. L'adresse d'expédition n'est pas une boîte surveillée : pour nous écrire, utilisez la [page de contact](https://spectr-ai.eu/contact). --- # Données et confidentialité - URL: https://docs.spectr-ai.eu/compte-et-securite/donnees-et-confidentialite - Markdown: https://docs.spectr-ai.eu/compte-et-securite/donnees-et-confidentialite.md - Language: fr - Section: Compte et sécurité - Type: Explication (explanation) - Audience: Lecteurs techniques (technical) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce que SpectrAI conserve d'un pentest, comment les comptes de test et les preuves sont protégés, ce qui est purgé, où tourne l'inférence, et ce que SpectrAI ne promet pas. ## Isolation entre clients Chaque espace client est une frontière : toute lecture et toute écriture passent par l'espace courant et des règles appliquées dans la base de données. Un partenaire n'accède qu'à ses espaces ; un analyste qu'aux espaces affectés ; un contact client qu'au sien. ## Ce qui est conservé | Donnée | Conservation | |---|---| | Cibles, preuves de contrôle, Guidance et ses documents | Conservés avec l'espace client, versionnés. | | Événements d'activité d'un pentest | Normalisés et expurgés avant d'être enregistrés. | | Findings et preuves | Expurgés, puis figés dans le rapport. | | Rapports | Instantanés immuables, avec leur PDF. | | Journal d'audit | Les actions de l'espace. | ## Comptes de test Les comptes de test fournis pour un pentest sont chiffrés au repos, matérialisés juste avant l'exécution, expurgés des preuves et purgés ensuite. > [!WARNING] > Pendant l'exécution, ils sont lisibles en clair par le moteur de test et par le modèle de langage qui le pilote. Aucune promesse d'effacement chez le fournisseur du modèle ni sur les supports de stockage n'est possible. Utilisez des comptes dédiés et révocables. ## Ce qui n'atteint jamais votre espace Les chemins de travail internes, les identifiants d'exécution, les empreintes d'images, les secrets des fournisseurs et les artefacts bruts du moteur ne sont jamais exposés dans l'espace client, les rapports ou les exports. ## Modèles de langage Les agents sont pilotés par des modèles de langage accessibles à travers une passerelle, avec un fournisseur imposé par profil, l'entraînement sur vos données refusé par la politique de la passerelle et un plafond de consommation par pentest. SpectrAI ne promet pas que le fournisseur ne conserve rien, ni une inférence localisée dans l'Union européenne, ni un caractère « souverain » : ces propriétés ne sont pas attestées aujourd'hui. ## Suppression La suppression de données déclenche une purge du stockage, suivie par une tâche planifiée. Une purge confirmée ne prouve pas l'effacement des sauvegardes ni des systèmes des sous-traitants. ## Partage de rapports Un lien de partage expire à la date choisie et se révoque à tout moment. Les pages de rapport partagé ne sont ni indexées ni mises en cache par les navigateurs. ## Sous-traitants et droits La liste des sous-traitants, les finalités, les bases légales et vos droits sont décrits dans la [politique de confidentialité](https://spectr-ai.eu/confidentialite). Les conditions d'utilisation précisent les cibles autorisées et l'usage acceptable (voir les [conditions](https://spectr-ai.eu/conditions)). --- # Référence - URL: https://docs.spectr-ai.eu/reference - Markdown: https://docs.spectr-ai.eu/reference.md - Language: fr - Section: Référence - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-04 > Les limites et engagements de SpectrAI, tous les délais et expirations en une table, le dépannage des blocages fréquents, les questions fréquentes et le journal des modifications du produit. Cette section rassemble ce qu'il faut pouvoir retrouver vite : la liste des limites que SpectrAI ne masque pas, les délais (codes, preuves, retests, rappels), le dépannage des blocages les plus fréquents, les questions fréquentes et l'historique daté des évolutions du produit. --- # Limites et engagements - URL: https://docs.spectr-ai.eu/reference/limites - Markdown: https://docs.spectr-ai.eu/reference/limites.md - Language: fr - Section: Référence - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Ce que SpectrAI ne fait pas, ne promet pas ou ne couvre pas aujourd'hui : périmètre, confinement, retests, comptes de test, modèles, conformité, facturation. La liste que le produit ne masque pas. Une capacité n'est « livrée » que lorsqu'elle est prouvée dans l'environnement visé. Ce qui suit est absent, partiel ou non prouvé, et le reste tant que cette page le dit. ## Périmètre - Le pentest externe teste des URL HTTP(S) exactes sur IPv4. Le domaine externe complet, les exclusions typées et les limites réseau personnalisées ne sont pas proposés en externe. - Les adresses IP nues, les dépôts Git, le code uploadé et les pipelines CI ne sont pas testés. - Le scan interne teste l'application nommée dans le mandat, pas « tout le réseau ». Il doit être activé par SpectrAI sur l'espace client. - Les exclusions explicites d'une cible, les éléments hors périmètre de la Guidance, les chemins exclus, le débit demandé et le mode prudent sont des consignes de test, pas une politique réseau. Seuls les URL autorisées (externe) et le mandat (interne) sont appliqués au niveau réseau. ## Autorisation - L'attestation acceptée au lancement ne remplace pas une autorisation juridique signée distincte entre vous et le propriétaire de l'application. Ce workflow n'est pas livré. ## Retests - Un retest publie un résultat non concluant quand le finding n'est pas retrouvé ; il ne vérifie pas le correctif. Aucun verdict « correction vérifiée » n'est émis. - Après épuisement des deux lots ou fermeture de la fenêtre de soixante jours, aucune correction supplémentaire n'est testée gratuitement. ## Comptes de test et données - Les comptes de test transitent en clair dans le moteur de test et le modèle pendant l'exécution ; aucun effacement chez le fournisseur ni sur les supports ne peut être promis. - Une purge confirmée ne prouve pas l'effacement des sauvegardes ni des systèmes des sous-traitants. ## Modèles et couverture - Les profils de modèles n'exigent pas que le fournisseur ne conserve rien ; aucune région d'inférence européenne n'est attestée ; le mot « souverain » n'est pas employé. - Les plafonds de consommation et de durée sont des garde-fous internes : ni coût strict garanti, ni couverture exhaustive, ni absence de faux positifs. ## Conformité - L'index NIS2, le CVSS et le CWE structurent le livrable. Ils ne remplacent ni un audit réglementaire, ni une qualification, ni une certification. ## Exploitation - La plateforme exécute les pentests l'un après l'autre ; une file d'attente est possible. - Le domaine personnalisé d'un partenaire est livré dans le code et activé manuellement ; aucun domaine partenaire réel n'a encore été exercé de bout en bout. ## Facturation - Aucun remboursement n'est effectué depuis l'application. Un litige place le contrat en vérification, résolue par un opérateur avec justification. Voir aussi [Données et confidentialité](https://docs.spectr-ai.eu/compte-et-securite/donnees-et-confidentialite) et les [conditions d'utilisation](https://spectr-ai.eu/conditions). --- # Délais et expirations - URL: https://docs.spectr-ai.eu/reference/delais-et-expirations - Markdown: https://docs.spectr-ai.eu/reference/delais-et-expirations.md - Language: fr - Section: Référence - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Tous les délais du produit en une table : code de vérification, preuve de contrôle, contrôle au lancement, fenêtre de retests, rappels, code de second facteur, invitations, liens de partage, jetons d'agent. | Élément | Délai | Ce qui se passe ensuite | |---|---|---| | Code de vérification de domaine | 72 heures | Générer un nouveau code, le publier, relancer la vérification. | | Preuve de contrôle acceptée | 90 jours | Tout nouveau lancement est bloqué ; renouveler la preuve. Rappel 7 jours avant. | | Contrôle de la preuve au lancement | 5 minutes | Le contrôle est refait s'il est plus ancien. | | Nouvelle vérification du contrat avant un lancement | 10 minutes | Un contrat contrôlé depuis plus de dix minutes est revérifié auprès du prestataire de paiement. | | Fenêtre de retests | 60 jours après le rapport | Les lots non utilisés expirent. Rappel 7 jours avant s'il reste un lot. | | Compléments d'URL d'un scan interne | 60 jours après le rapport | Les suggestions restantes expirent. | | Rappel d'un pentest planifié | 3 jours avant | Notification ; pause si une condition manque. | | Agent de relais prêt | Connexion dans les 90 dernières secondes | Sans agent prêt, aucun test ne passe par le site. | | Jeton d'inscription d'un agent | 15 minutes, usage unique, affiché une seule fois | Générer un nouveau jeton. | | Mandat d'un site interne | Durée choisie, de 1 à 366 jours | Sans autorisation en cours, aucun lancement. Rappel avant l'échéance. | | Fenêtre de démarrage d'un pentest | Jours et heures choisis | Le pentest ne démarre que dans cette fenêtre. | | Actualisation du suivi en direct | Toutes les 15 secondes | Sans action de votre part. | | Code de second facteur par e-mail | 10 minutes, 5 essais | Demander un nouveau code (un par minute, six par heure). | | Invitation (équipe ou client) | Date affichée | Renvoyer une invitation. | | Lien de partage d'un rapport | Durée choisie à la création | Le lien expire ; il peut être révoqué avant. | | Commande en attente | 30 jours sans paiement | La commande est annulée ; en recommander une. | | Mensualité impayée | Période de grâce de quelques jours | Le contrat passe en vérification ; lancements suspendus. | | Date de réexamen d'un risque accepté | Au plus tard dans un an | Le suivi du finding le rappelle. | --- # Dépannage - URL: https://docs.spectr-ai.eu/reference/depannage - Markdown: https://docs.spectr-ai.eu/reference/depannage.md - Language: fr - Section: Référence - Type: Guide pratique (how-to) - Audience: Pour tous (all) - Published: 2026-11-04 - Updated: 2026-11-04 > Les blocages les plus fréquents et leur solution, du symptôme à l'action : preuve de contrôle, Guidance, lancement, pentest en pause, relais, paiement, second facteur, invitations et liens de partage. Chaque ligne part de ce que vous voyez dans l'application, donne la cause la plus probable et l'action qui débloque. La page qui détaille le sujet est indiquée sous chaque table ; les durées exactes sont réunies dans [Délais et expirations](https://docs.spectr-ai.eu/reference/delais-et-expirations). ## Preuve de contrôle du domaine | Symptôme | Cause probable | Que faire | |---|---|---| | « Code expiré » | Le code de vérification n'est valable que 72 heures. | Générez un nouveau code, publiez-le, relancez la vérification. | | « Redirection détectée » (fichier) | Le fichier est servi derrière une redirection, par exemple de `http` vers `https` ou vers `www`. | Servez le fichier sur l'origine exacte de la cible, en réponse directe. | | « Résolveurs en désaccord » (DNS) | L'enregistrement TXT n'est pas encore propagé, ou tous vos serveurs DNS ne le publient pas. | Attendez la fin de la propagation ; si la zone est servie par plusieurs fournisseurs, publiez l'enregistrement sur tous. | | « Adresse privée » | La cible répond sur une adresse IP privée. | La cible doit répondre sur une adresse IPv4 publique. | | « Preuve invalidée », ou preuve expirée | La preuve acceptée vaut 90 jours ; un changement de domaine l'invalide aussi. Une preuve expirée bloque tout lancement. | Créez un nouveau code et refaites la vérification. Un rappel est envoyé 7 jours avant l'échéance. | Détail : [Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine). ## Guidance | Symptôme | Cause probable | Que faire | |---|---|---| | La Guidance reste verrouillée | Le domaine de la cible n'est pas encore vérifié. | Terminez la vérification du domaine. | | La publication est refusée | Un champ est vide ou ne contient que des espaces. | Remplissez chaque champ ; partez d'un modèle (SaaS, e-commerce, API, site web) si besoin. | | Un chemin décrit dans un document d'API n'est pas testé | Il pointe hors des URL autorisées : un document ne peut jamais élargir le périmètre. | Ajoutez l'URL HTTPS correspondante dans la fiche de la cible, sous le domaine vérifié. | Détail : [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance). ## Lancement d'un pentest | Symptôme | Cause probable | Que faire | |---|---|---| | Le lancement est refusé | Au lancement, SpectrAI revérifie le rôle, l'évaluation disponible, la cible, la fraîcheur de la preuve (moins de 5 minutes), la Guidance et les URL. | Vérifiez chaque prérequis : une évaluation disponible, une preuve valide, une Guidance active, le rôle administrateur ou membre. | | Aucune évaluation disponible | L'évaluation du pentest ponctuel est consommée, ou la seconde évaluation du programme annuel n'est pas encore ouverte. | Commandez une évaluation depuis la fiche de l'application. Un retest ne consomme pas d'évaluation. | | Le pentest attend sans démarrer | La plateforme exécute les pentests l'un après l'autre : le vôtre attend son tour. La fenêtre de démarrage choisie peut aussi ne pas être ouverte. | Patientez ; la page du pentest indique sa phase. | | Un pentest planifié est en pause | Aucune évaluation disponible, preuve de contrôle expirée, Guidance manquante ou autorisation plus valable. | Corrigez la condition signalée dans la notification (renouvelez la preuve, publiez la Guidance, commandez une évaluation), puis relancez. | Détail : [Lancer un pentest](https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest). ## Relais et scans internes | Symptôme | Cause probable | Que faire | |---|---|---| | « Application interne » indisponible à la création d'une cible | Les scans internes ne sont pas activés sur votre espace. | Écrivez-nous depuis la [page de contact](https://spectr-ai.eu/contact?request=internal). | | Aucun agent prêt | Un agent est prêt s'il s'est connecté dans les 90 dernières secondes : la machine est éteinte, le conteneur est arrêté, ou la sortie HTTPS vers la passerelle est bloquée. | Vérifiez que la machine est allumée et que le conteneur tourne, consultez ses journaux, ou inscrivez un nouvel agent. | | Le code d'inscription est refusé | Le jeton est à usage unique, affiché une seule fois, et expire au bout de 15 minutes. | Générez un nouveau jeton et de nouvelles commandes. | | Aucun test ne passe par le site | Aucun mandat en cours : sans autorisation de test, rien ne passe par le site. | Posez ou renouvelez le mandat. | | Joignabilité « injoignable », « refusée » ou « expirée » | L'agent n'a pas pu ouvrir la connexion TCP demandée, ou l'adresse n'est pas couverte par le mandat. | Vérifiez l'accès réseau depuis la machine de l'agent et la couverture du mandat ; l'explication du résultat reste dans l'historique du site. | | L'agent s'est déconnecté pendant un scan | Perte du relais. | Les résultats partiels sont conservés ; la reprise est proposée une fois l'agent revenu, sans évaluation supplémentaire. | Détail : [Installer le relais](https://docs.spectr-ai.eu/scans-internes/installer-le-relais) et [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions). ## Commande et paiement | Symptôme | Cause probable | Que faire | |---|---|---| | Les droits ne s'ouvrent pas après le paiement | Ce sont la confirmation du paiement et son rapprochement qui ouvrent les droits, généralement en quelques minutes. | Choisissez **Actualiser le paiement**. | | La page de paiement a expiré ou le paiement a échoué | La tentative n'est pas terminée. | **Reprendre le paiement** rouvre la même tentative, sans doublon ; **Annuler avant paiement** retire la commande. | | Les conditions d'utilisation sont refusées | La version que vous avez lue est périmée. | Rechargez la page et relisez-les. | | La commande a disparu | Une commande en attente abandonnée depuis trente jours est annulée d'elle-même. | Recommandez une évaluation. | | Les lancements sont suspendus | Une mensualité impayée après la période de grâce, un litige ou un remboursement place le contrat en vérification. | Régularisez l'échéance depuis la liste des factures ; un opérateur SpectrAI résout un litige avec justification. | Détail : [Commander une évaluation](https://docs.spectr-ai.eu/offres-et-commandes/commander). ## Résultats et retests | Symptôme | Cause probable | Que faire | |---|---|---| | Un finding attendu n'apparaît pas | Seules les faiblesses démontrées avec une preuve sont publiées. | Un rapport sans finding atteste qu'aucune faiblesse n'a été prouvée dans le périmètre et le temps du test. Précisez la Guidance (rôles, flux à fort impact) pour le prochain pentest. | | Le retest indique « non reproduite » | Le test ciblé n'a pas retrouvé le finding d'origine : le résultat est non concluant. | Il ne prouve pas que la correction est correcte ; aucun verdict « correction vérifiée » n'existe. | | Impossible de préparer un lot de retests | Les deux lots sont épuisés, ou la fenêtre de soixante jours est fermée. | Une nouvelle commande est nécessaire. | | Le lien de partage ne s'ouvre plus | Le lien a expiré à la date choisie, ou a été révoqué. | Créez un nouveau lien depuis le rapport. | Détail : [Retests de correction](https://docs.spectr-ai.eu/resultats/retests) et [Le rapport](https://docs.spectr-ai.eu/resultats/rapport). ## Compte et équipe | Symptôme | Cause probable | Que faire | |---|---|---| | Le code par e-mail est refusé | Le code vaut 10 minutes et 5 essais. | Demandez un nouveau code : un par minute, six par heure. | | Une action demande une « session vérifiée » | Ajouter un site, un agent ou une autorisation de test exige un second facteur dans la session en cours. | Reconnectez-vous avec votre second facteur ; une réinitialisation de mot de passe ne compte pas comme session vérifiée. | | L'invitation ne fonctionne plus | Elle a expiré à la date indiquée. | Demandez à un administrateur de renvoyer une invitation. | | Impossible de changer votre propre rôle | Personne ne peut modifier son propre rôle. | Demandez à un autre administrateur de l'espace. | Détail : [Connexion et second facteur](https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur) et [Équipe et rôles](https://docs.spectr-ai.eu/compte-et-securite/equipe-et-roles). ## Rien ne correspond Écrivez-nous depuis la [page de contact](https://spectr-ai.eu/contact?request=pentest) en indiquant la page concernée et ce que vous voyez ; nous répondons par e-mail. Les capacités absentes du produit sont listées dans [Limites et engagements](https://docs.spectr-ai.eu/reference/limites), les questions courantes dans la [FAQ](https://docs.spectr-ai.eu/reference/faq). --- # Questions fréquentes - URL: https://docs.spectr-ai.eu/reference/faq - Markdown: https://docs.spectr-ai.eu/reference/faq.md - Language: fr - Section: Référence - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-01 > Les réponses courtes aux questions les plus posées sur SpectrAI : périmètre, preuves, rapport, retests, relais, prix, partenaires, sécurité et conformité. ## Périmètre ### Puis-je tester tout mon domaine ou plusieurs applications avec une commande ? Non. Une commande nomme une application et ses API associées, dans un environnement convenu. Une autre application est une autre cible et une autre commande. ### Les sous-domaines sont-ils inclus dans un pentest externe ? Pas par défaut. Le pentest externe teste les URL HTTPS autorisées sous le domaine vérifié, celles que vous avez ajoutées dans la fiche de la cible, chacune comme une URL exacte. Rien n'est ajouté par découverte. Pour un scan interne, le mandat peut inclure les sous-domaines de l'application. ### Puis-je tester une adresse IP ou mon dépôt de code ? Non. Les adresses IP nues, les dépôts Git, le code uploadé et les pipelines CI ne sont pas couverts. ## Preuves et rapport ### Pourquoi un finding que je soupçonne n'apparaît-il pas ? Seules les faiblesses démontrées avec une preuve sont publiées. Un rapport sans finding atteste qu'aucune faiblesse n'a été prouvée dans le périmètre et le temps du test, pas que l'application est sûre. ### Quelqu'un relit-il le rapport avant sa publication ? Non. L'évaluation des findings et la publication sont entièrement autonomes, après des contrôles automatiques de preuves, de périmètre et de cohérence. ### Un rapport peut-il être modifié après publication ? Non. Chaque rapport est un instantané figé. Un nouveau pentest produit un nouveau rapport. ## Retests ### Que vérifie un retest ? Il refait un test ciblé sur le finding d'origine. S'il ne le retrouve pas, le résultat est non concluant : il ne prouve pas que la correction est correcte. S'il le retrouve, le finding est réouvert. ### Combien de retests sont inclus ? Deux lots par rapport, dans les soixante jours, sans plafond de corrections par lot. Ils ne consomment jamais la seconde évaluation d'un programme annuel. ## Relais et scans internes ### Que dois-je installer pour un scan interne ? Un agent Docker sur une machine du réseau à tester, avec les commandes fournies par l'application et un code d'inscription à usage unique. Il n'ouvre aucun port entrant et doit rester disponible pendant le test. Les scans internes sont activés par SpectrAI sur votre espace après accord sur le périmètre. ### Un scan interne peut-il sortir du mandat ? Non. Le mandat est appliqué comme une politique réseau : une destination hors mandat n'est jamais testée. Si elle est découverte pendant le scan, elle devient une suggestion à valider, jamais un test. ## Prix et commandes ### Où sont les prix ? Ils ne sont pas publiés sur le site. Ils sont affichés au moment de la commande, dans l'application. ### Le programme annuel se renouvelle-t-il automatiquement ? Non. C'est un engagement de douze mois, prépayé ou en douze mensualités fixes, sans renouvellement automatique. ### Puis-je être remboursé ? Aucun remboursement n'est effectué depuis l'application. Une évaluation est rendue au contrat si le pentest est annulé avant son démarrage ou échoue pour une cause plateforme sans rapport. ## Partenaires ### Mon client voit-il le tarif partenaire ? Non. SpectrAI facture le partenaire ; le partenaire fixe sa revente et facture son client. Le client final ne voit ni le tarif partenaire ni les factures fournisseur. ### Puis-je choisir de valider les rapports avant mes clients ? Non. La publication est autonome pour tous les espaces ; aucune politique de validation n'existe. ## Sécurité et conformité ### Le second facteur est-il obligatoire ? Il est proposé une fois aux clients et administrateurs, jamais imposé ; certaines actions demandent une session vérifiée. Seuls les opérateurs de la plateforme doivent l'activer. ### SpectrAI atteste-t-il une conformité NIS2 ou certifie-t-il quelque chose ? Non. L'index NIS2 classe les preuves d'un rapport ; il n'atteste aucune conformité et ne remplace ni audit, ni qualification, ni certification. ### Où tournent les modèles de langage ? Via une passerelle, avec un fournisseur imposé par profil et l'entraînement interdit. SpectrAI n'atteste ni une inférence dans l'Union européenne, ni que le fournisseur ne conserve rien. --- # Utiliser la documentation avec une IA - URL: https://docs.spectr-ai.eu/reference/agents - Markdown: https://docs.spectr-ai.eu/reference/agents.md - Language: fr - Section: Référence - Type: Guide pratique (how-to) - Audience: Pour tous (all) - Published: 2026-11-04 - Updated: 2026-11-04 > Donnez à votre assistant une page Markdown ou la documentation complète de SpectrAI, avec les liens sources, la langue et les dates de mise à jour. Cette documentation est publique et consultable sans connexion. Les versions HTML et Markdown sont produites à partir des mêmes pages. Vous pouvez les donner à un assistant pour préparer un pentest, comprendre un rapport ou retrouver une procédure. ## Choisir le bon contexte | Besoin | Ressource | | --- | --- | | Poser une question sur la page ouverte | Le bouton « Copier en Markdown » ou le menu « Utiliser avec une IA » | | Trouver les pages pertinentes | [L’index des pages](https://docs.spectr-ai.eu/llms.txt), avec les résumés et les liens Markdown en anglais puis en français | | Lire plusieurs sujets ou constituer un index local | [Le texte complet](https://docs.spectr-ai.eu/llms-full.txt), anglais puis français, avec les adresses et les dates de chaque page | | Découvrir l’arborescence française | [L’accueil en Markdown](https://docs.spectr-ai.eu/index.md) | | Découvrir l’arborescence anglaise | [L’accueil anglais en Markdown](https://docs.spectr-ai.eu/en.md) | Pour une question précise, commencez par l’index et récupérez uniquement les pages utiles. Le fichier complet convient à un assistant capable d’en lire l’ensemble ; sa taille peut dépasser la place disponible dans certains outils. ## Récupérer une page en Markdown Ajoutez `.md` à l’adresse d’une page. Le français est à la racine ; l’anglais utilise le préfixe `/en` et les mêmes slugs. ```sh curl https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine.md curl https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine.md ``` Vous pouvez aussi demander le Markdown à l’adresse HTML avec l’en-tête `Accept` : ```sh curl -H 'Accept: text/markdown' https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine ``` Chaque page fournit son titre, son résumé, sa langue, ses dates, son adresse HTML, son adresse Markdown et l’autre langue dans le front matter. Les liens sont absolus pour rester utilisables une fois le texte copié. Les pages liées permettent d’approfondir le sujet. ## Poser une question avec ses sources Exemple de consigne à adapter : ```text Lis https://docs.spectr-ai.eu/llms.txt et les pages utiles à ma question. Explique comment vérifier un domaine avant un pentest externe. Cite les adresses sources et leurs dates de mise à jour. Distingue les faits documentés de tes déductions. Si une information manque, indique-le et demande une précision. ``` Le menu « Utiliser avec une IA » ouvre un assistant avec une consigne et les adresses de la page. L’assistant doit pouvoir récupérer ces adresses. S’il ne le peut pas, utilisez « Copier en Markdown » et collez le texte dans la conversation. ## Garder le contexte adapté La documentation décrit le fonctionnement public du produit. Elle ne donne pas accès à votre compte, à vos commandes ou à vos rapports. Transmettre une page à un assistant ne lance aucun test et ne lui donne aucune autorisation sur votre application. Pour préparer une question, utilisez les [concepts](https://docs.spectr-ai.eu/demarrer/concepts), les [limites et engagements](https://docs.spectr-ai.eu/reference/limites) et les [règles de confidentialité](https://docs.spectr-ai.eu/compte-et-securite/donnees-et-confidentialite). Pour un blocage dans l’application, consultez le [dépannage](https://docs.spectr-ai.eu/reference/depannage). --- # Journal des modifications - URL: https://docs.spectr-ai.eu/reference/journal-des-modifications - Markdown: https://docs.spectr-ai.eu/reference/journal-des-modifications.md - Language: fr - Section: Référence - Type: Référence (reference) - Audience: Pour tous (all) - Published: 2026-11-01 - Updated: 2026-11-04 > L'historique daté des évolutions visibles de SpectrAI, pour les clients et les partenaires : offres, parcours, relais, authentification, documentation. Chaque ligne décrit ce qui a changé pour les clients et les partenaires, à la date de mise en service. Les détails d'exploitation internes n'y figurent pas. ## 4 novembre 2026 - Documentation : chaque page existe en Markdown en ajoutant `.md` à son adresse, ou en la demandant avec l'en-tête `Accept: text/markdown` ; l'index `https://docs.spectr-ai.eu/llms.txt` liste toutes les pages pour les assistants. - Documentation : recherche dans le texte complet des pages (raccourci `/` ou Ctrl K), pages liées en fin d'article, carte de partage propre à chaque page, et une page [Dépannage](https://docs.spectr-ai.eu/reference/depannage) qui va du symptôme à l'action. - Documentation : accès rapides sur l'accueil, sections repliables, sommaire sur mobile, copie des blocs de code et menu IA compact. Le guide [Utiliser la documentation avec une IA](https://docs.spectr-ai.eu/reference/agents) explique les formats et les sources à transmettre. ## 1er novembre 2026 - Ouverture de cette documentation, en français et en anglais, avec sa version Markdown par page et un index pour les assistants. ## 31 octobre 2026 - Le second facteur peut être un code à six chiffres par e-mail, en plus de l'application d'authentification ; les deux sont combinables et choisis à chaque connexion. - Le lien magique de connexion est retiré : connexion par mot de passe puis second facteur uniquement. - Le second facteur est proposé une seule fois après l'inscription aux clients et administrateurs ; il reste obligatoire pour les opérateurs de la plateforme. - Rappels clients envoyés une fois par événement : fenêtre de retests qui se ferme, seconde évaluation annuelle disponible, preuve de contrôle qui expire. - La commande enregistre la version des conditions d'utilisation acceptée. ## 29 et 30 octobre 2026 - Révision de l'ergonomie des pages de l'espace client et de la console : onglets, listes, suivi d'activité en direct d'un pentest en quatre étapes. - Restitution d'une évaluation en cas d'annulation avant démarrage ou d'échec plateforme sans rapport. ## 28 octobre 2026 - Scans internes à travers un relais installé chez le client : sites, agents signés, mandat avec sous-domaines et exclusions, rapport automatique. - Évaluation des findings et publication des rapports entièrement autonomes, sans validation humaine. ## 18 et 19 octobre 2026 - Paiement en ligne par carte sur page hébergée, factures et portail de remplacement de carte. - Catalogue applicatif : pentest ponctuel ou programme annuel, pour une application nommée ; deux lots de retests par rapport. ## 10 octobre 2026 - Nouveau site public en français et en anglais : offres, méthodologie, exemple de rapport, partenaires, contact et pages légales.