# SpectrAI documentation

> SpectrAI guides, tutorials and reference: domain ownership proof, Guidance, internal relay, findings, reports, retests, orders and partner spaces.

SpectrAI is an autonomous penetration testing service for a named web application and its APIs, run from the Internet against a verified domain (external pentest) or from inside the customer's network through an installed relay (internal scan). Only demonstrated weaknesses are published, each with its evidence; finding assessment and report publication are automatic. This documentation describes what the product does today. It is written in French (https://docs.spectr-ai.eu/) and in English (https://docs.spectr-ai.eu/en) with the same slugs. Every page is also served as Markdown: append `.md` to its address, or request the page with `Accept: text/markdown`. Prices are not published; the documentation names no internal component. The public site is https://spectr-ai.eu, the application https://app.spectr-ai.eu/en. Last updated: 2026-11-04.

## Documentation (English)

- [Getting started](https://docs.spectr-ai.eu/en/demarrer.md): What SpectrAI does, the notions to know, the first pentest end to end and the product vocabulary.
- [Getting started: Introducing SpectrAI](https://docs.spectr-ai.eu/en/demarrer/presentation.md): An autonomous pentest of a named application, external or internal, with verified evidence, a frozen report and correction retests. What it is, who it is for, and its limits.
- [Getting started: Key concepts](https://docs.spectr-ai.eu/en/demarrer/concepts.md): Target, ownership proof, Guidance, pentest, attempt, findings, evidence, attack paths, report, retests: how these objects fit together in SpectrAI.
- [Getting started: Your first pentest](https://docs.spectr-ai.eu/en/demarrer/premier-pentest.md): From signup to the report: create the account, register the application, prove the domain, write the Guidance, launch the pentest, read the results and prepare the retests.
- [Getting started: Glossary](https://docs.spectr-ai.eu/en/demarrer/glossaire.md): The terms used in the application, the reports and this documentation, with their short definition and a link to the page that details them.
- [External pentest](https://docs.spectr-ai.eu/en/pentest-externe.md): Test an application from the Internet: prove control of the domain, write the Guidance, prepare and launch the pentest, understand what happens during the test, follow its activity up to the report.
- [External pentest: Verify the domain](https://docs.spectr-ai.eu/en/pentest-externe/verifier-le-domaine.md): Prove that you control an application's domain through an HTTPS file or a DNS TXT record, understand the time limits and resolve verification failures.
- [External pentest: Write the Guidance](https://docs.spectr-ai.eu/en/pentest-externe/guidance.md): Give the agents the context of an application: attack surface, priorities, strategy and prohibited techniques, evidence requirements and stop conditions, OpenAPI or Postman documents and test accounts.
- [External pentest: Launch a pentest](https://docs.spectr-ai.eu/en/pentest-externe/lancer-un-pentest.md): Prepare a pentest on a verified target: choose and order the authorised URLs, provide test accounts, set the guardrails, accept the five attestations, launch, and understand what is deducted.
- [External pentest: During the test](https://docs.spectr-ai.eu/en/pentest-externe/pendant-le-test.md): What happens on your application during a SpectrAI pentest: real traffic, test data, alerts, firewalls and CDNs, the recommended environment, prohibited techniques and what the guardrails do or do not guarantee.
- [External pentest: Follow the activity](https://docs.spectr-ai.eu/en/pentest-externe/suivre-l-activite.md): Read the page of a running pentest: the four phases, the duration and latest end time, the test plan, the surfaces tested, the last activity, cancelling and resuming.
- [Internal scans](https://docs.spectr-ai.eu/en/scans-internes.md): Test private applications from inside your network: the relay, its installation, the mandate that bounds the tests and the launch of an internal scan up to the automatic report.
- [Internal scans: The relay](https://docs.spectr-ai.eu/en/scans-internes/relais.md): How the internal scan relay works: an agent installed on your side, a signed image, a mandate enforced at the network level and destinations outside the mandate never tested.
- [Internal scans: Install the relay](https://docs.spectr-ai.eu/en/scans-internes/installer-le-relais.md): Declare a site, install the Docker agent on a machine of the network with the commands the application provides, see it appear ready, check reachability and keep it available during tests.
- [Internal scans: The testing mandate](https://docs.spectr-ai.eu/en/scans-internes/mandat-et-exclusions.md): Define the testing authorisation of an internal site: the application, subdomains, HTTPS ports and duration. How the mandate is enforced, what it does not allow, how to change or revoke it.
- [Internal scans: Launch an internal scan](https://docs.spectr-ai.eu/en/scans-internes/lancer-un-scan-interne.md): Create an internal application attached to a site whose agent is ready and whose mandate is current, prepare and launch the pentest, follow the scan, handle a relay disconnection and receive the report.
- [Results](https://docs.spectr-ai.eu/en/resultats.md): What a completed pentest produces: findings with their evidence, attack paths, a frozen report, two correction retest batches and a NIS2 evidence index.
- [Results: Findings and evidence](https://docs.spectr-ai.eu/en/resultats/findings-et-preuves.md): Read a published finding: CVSS severity, CWE classification, description, impact, recommendation and redacted HTTP evidence. Track its fix in the application.
- [Results: Attack paths](https://docs.spectr-ai.eu/en/resultats/chemins-d-attaque.md): How SpectrAI links proven findings into attack paths, what the provenance of each step means, and why a path adds no assumption to the evidence.
- [Results: The report](https://docs.spectr-ai.eu/en/resultats/rapport.md): The final report of a pentest: automatic publication, content, frozen versions, PDF export, revocable share link, brand, and what it contains when no finding was proven.
- [Results: Correction retests](https://docs.spectr-ai.eu/en/resultats/retests.md): Have your fixes verified with the two retest batches included within sixty days of each report: prepare a batch, launch it, read its verdict and understand its limits.
- [Results: NIS2 index](https://docs.spectr-ai.eu/en/resultats/nis2.md): What the NIS2 evidence index of a SpectrAI report is, the article 21 controls it organises, and why it is neither an attestation nor a certification.
- [Offers and orders](https://docs.spectr-ai.eu/en/offres-et-commandes.md): The application catalogue (one-off pentest or annual programme), what each evaluation includes, how to order from the application page and how the annual programme works.
- [Offers and orders: The catalogue](https://docs.spectr-ai.eu/en/offres-et-commandes/catalogue.md): One-off pentest or annual programme: what each evaluation includes, what distinguishes the two services, and what neither of them is.
- [Offers and orders: Ordering an evaluation](https://docs.spectr-ai.eu/en/offres-et-commandes/commander.md): Order a one-off pentest or an annual programme from the application page, pay by card on the hosted page, resume or cancel a payment, follow the contract, find your invoices and replace your card.
- [Offers and orders: The annual programme](https://docs.spectr-ai.eu/en/offres-et-commandes/programme-annuel.md): Two full evaluations of the same application over twelve months: when to launch the second one, how to adjust its agreed date, what happens at the end of the contract and how it differs from active monitoring.
- [Partners](https://docs.spectr-ai.eu/en/partenaires.md): For security firms, MSSPs, MSPs and managed service providers: the console, client spaces, roles, white label and orders placed for a client.
- [Partners: Console and client spaces](https://docs.spectr-ai.eu/en/partenaires/console.md): How a partner works in SpectrAI: the console, how to enter a client space and return to the console, the admin, analyst and viewer roles, and what each one sees.
- [Partners: Client spaces](https://docs.spectr-ai.eu/en/partenaires/espaces-clients.md): Create a client space, invite the client and its team, assign analysts, prepare the first target and follow what is blocking, from the partner's console.
- [Partners: White label](https://docs.spectr-ai.eu/en/partenaires/marque-blanche.md): Deliver SpectrAI under your brand: identity and logo, e-mails, preview, custom domain and e-mail sender. What is automatic and what requires activation.
- [Partners: Partner orders](https://docs.spectr-ai.eu/en/partenaires/commandes-partenaires.md): Order an evaluation for an identified client from the console, follow the evaluations available in the portfolio, understand invoicing between SpectrAI, the partner and the end customer.
- [Account and security](https://docs.spectr-ai.eu/en/compte-et-securite.md): Sign-in and second factor, team and roles of a client space, notifications in the application and by e-mail, and what SpectrAI does with your data.
- [Account and security: Sign-in and second factor](https://docs.spectr-ai.eu/en/compte-et-securite/connexion-et-second-facteur.md): Sign in with your password then a second factor (authenticator app or e-mail code), enable or remove a factor, reset your password, and what is required depending on the role.
- [Account and security: Team and roles](https://docs.spectr-ai.eu/en/compte-et-securite/equipe-et-roles.md): Invite people into a client space, choose their role (administrator, member, viewer), understand what each role allows and read the audit log.
- [Account and security: Notifications](https://docs.spectr-ai.eu/en/compte-et-securite/notifications.md): SpectrAI notifications in the application and by e-mail, the reminders sent once per event, and how to set your preferences without losing the essential messages.
- [Account and security: Data and privacy](https://docs.spectr-ai.eu/en/compte-et-securite/donnees-et-confidentialite.md): What SpectrAI keeps from a pentest, how test accounts and evidence are protected, what is purged, where inference runs, and what SpectrAI does not promise.
- [Reference](https://docs.spectr-ai.eu/en/reference.md): SpectrAI's limits and commitments, all deadlines and expirations in one table, troubleshooting of the common blockers, frequently asked questions and the product changelog.
- [Reference: Limits and commitments](https://docs.spectr-ai.eu/en/reference/limites.md): What SpectrAI does not do, does not promise or does not cover today: scope, confinement, retests, test accounts, models, compliance, invoicing. The list the product does not hide.
- [Reference: Deadlines and expirations](https://docs.spectr-ai.eu/en/reference/delais-et-expirations.md): All product deadlines in one table: verification code, ownership proof, check at launch, retest window, reminders, second factor code, invitations, share links, agent tokens.
- [Reference: Troubleshooting](https://docs.spectr-ai.eu/en/reference/depannage.md): The most common blockers and their solution, from symptom to action: ownership proof, Guidance, launch, paused pentest, relay, payment, second factor, invitations and share links.
- [Reference: Frequently asked questions](https://docs.spectr-ai.eu/en/reference/faq.md): Short answers to the most common questions about SpectrAI: scope, evidence, report, retests, relay, prices, partners, security and compliance.
- [Reference: Use the documentation with AI](https://docs.spectr-ai.eu/en/reference/agents.md): Give your assistant a Markdown page or the complete SpectrAI documentation, including source links, language and last updated dates.
- [Reference: Changelog](https://docs.spectr-ai.eu/en/reference/journal-des-modifications.md): The dated history of visible changes to SpectrAI, for clients and partners: offers, flows, relay, authentication, documentation.

## Documentation (French)

- [Démarrer](https://docs.spectr-ai.eu/demarrer.md): Ce que SpectrAI fait, les notions à connaître, le premier pentest de bout en bout et le vocabulaire du produit.
- [Démarrer: Présentation de SpectrAI](https://docs.spectr-ai.eu/demarrer/presentation.md): Un pentest autonome d'une application nommée, externe ou interne, avec des preuves vérifiées, un rapport figé et des retests de correction. Ce que c'est, pour qui, et ses limites.
- [Démarrer: Concepts clés](https://docs.spectr-ai.eu/demarrer/concepts.md): Cible, preuve de contrôle, Guidance, pentest, tentative, findings, preuves, chemins d'attaque, rapport, retests : comment ces objets s'articulent dans SpectrAI.
- [Démarrer: Votre premier pentest](https://docs.spectr-ai.eu/demarrer/premier-pentest.md): De l'inscription au rapport : créer le compte, enregistrer l'application, prouver le domaine, rédiger la Guidance, lancer le pentest, lire les résultats et préparer les retests.
- [Démarrer: Glossaire](https://docs.spectr-ai.eu/demarrer/glossaire.md): Les termes employés dans l'application, les rapports et cette documentation, avec leur définition courte et un lien vers la page qui les détaille.
- [Pentest externe](https://docs.spectr-ai.eu/pentest-externe.md): Tester une application depuis Internet : prouver le contrôle du domaine, rédiger la Guidance, préparer et lancer le pentest, comprendre ce qui se passe pendant le test, suivre son activité jusqu'au rapport.
- [Pentest externe: Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine.md): Prouver que vous contrôlez le domaine d'une application par un fichier HTTPS ou un enregistrement DNS TXT, comprendre les délais et résoudre les échecs de vérification.
- [Pentest externe: Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance.md): Donner aux agents le contexte d'une application : surface d'attaque, priorités, stratégie et techniques interdites, exigences de preuve et conditions d'arrêt, documents OpenAPI ou Postman et comptes de test.
- [Pentest externe: Lancer un pentest](https://docs.spectr-ai.eu/pentest-externe/lancer-un-pentest.md): Préparer un pentest sur une cible vérifiée : choisir et ordonner les URL autorisées, fournir les comptes de test, régler les garde-fous, accepter les cinq attestations, lancer, et comprendre ce qui est débité.
- [Pentest externe: Pendant le test](https://docs.spectr-ai.eu/pentest-externe/pendant-le-test.md): Ce qui se passe sur votre application pendant un pentest SpectrAI : trafic réel, données de test, alertes, pare-feu et CDN, environnement recommandé, techniques interdites et ce que les garde-fous garantissent ou non.
- [Pentest externe: Suivre l'activité](https://docs.spectr-ai.eu/pentest-externe/suivre-l-activite.md): Lire la page d'un pentest en cours : les quatre phases, la durée et l'heure de fin au plus tard, le plan de tests, les surfaces testées, la dernière activité, l'annulation et la reprise.
- [Scans internes](https://docs.spectr-ai.eu/scans-internes.md): Tester des applications privées depuis l'intérieur de votre réseau : le relais, son installation, le mandat qui borne les tests et le lancement d'un scan interne jusqu'au rapport automatique.
- [Scans internes: Le relais](https://docs.spectr-ai.eu/scans-internes/relais.md): Comment fonctionne le relais des scans internes : un agent installé chez vous, une image signée, un mandat appliqué au niveau réseau et des destinations hors mandat jamais testées.
- [Scans internes: Installer le relais](https://docs.spectr-ai.eu/scans-internes/installer-le-relais.md): Déclarer un site, installer l'agent Docker sur une machine du réseau avec les commandes fournies par l'application, le voir apparaître prêt, vérifier la joignabilité et le maintenir disponible pendant les tests.
- [Scans internes: Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions.md): Définir l'autorisation de test d'un site interne : l'application, les sous-domaines, les ports HTTPS et la durée. Comment le mandat est appliqué, ce qu'il ne permet pas, comment le modifier ou le révoquer.
- [Scans internes: Lancer un scan interne](https://docs.spectr-ai.eu/scans-internes/lancer-un-scan-interne.md): Créer une application interne rattachée à un site dont l'agent est prêt et le mandat en cours, préparer et lancer le pentest, suivre le scan, gérer une déconnexion du relais et recevoir le rapport.
- [Résultats](https://docs.spectr-ai.eu/resultats.md): Ce que produit un pentest terminé : des findings avec leurs preuves, des chemins d'attaque, un rapport figé, deux lots de retests de correction et un index de preuves NIS2.
- [Résultats: Findings et preuves](https://docs.spectr-ai.eu/resultats/findings-et-preuves.md): Lire un finding publié : sévérité CVSS, classification CWE, description, impact, recommandation et preuves HTTP expurgées. Suivre sa correction dans l'application.
- [Résultats: Chemins d'attaque](https://docs.spectr-ai.eu/resultats/chemins-d-attaque.md): Comment SpectrAI relie les findings prouvés en chemins d'attaque, ce que signifie la provenance de chaque étape, et pourquoi un chemin n'ajoute aucune hypothèse aux preuves.
- [Résultats: Le rapport](https://docs.spectr-ai.eu/resultats/rapport.md): Le rapport final d'un pentest : publication automatique, contenu, versions figées, export PDF, lien de partage révocable, marque, et ce qu'il contient quand aucun finding n'a été prouvé.
- [Résultats: Retests de correction](https://docs.spectr-ai.eu/resultats/retests.md): Faire vérifier vos corrections avec les deux lots de retests inclus dans les soixante jours de chaque rapport : préparer un lot, le lancer, lire son verdict et comprendre ses limites.
- [Résultats: Index NIS2](https://docs.spectr-ai.eu/resultats/nis2.md): Ce qu'est l'index de preuves NIS2 d'un rapport SpectrAI, les contrôles de l'article 21 qu'il organise, et pourquoi il n'est ni une attestation ni une certification.
- [Offres et commandes](https://docs.spectr-ai.eu/offres-et-commandes.md): Le catalogue applicatif (pentest ponctuel ou programme annuel), ce que chaque évaluation comprend, comment commander depuis la fiche de l'application et comment fonctionne le programme annuel.
- [Offres et commandes: Le catalogue](https://docs.spectr-ai.eu/offres-et-commandes/catalogue.md): Pentest ponctuel ou programme annuel : ce que comprend chaque évaluation, ce qui distingue les deux prestations, et ce qu'aucune des deux n'est.
- [Offres et commandes: Commander une évaluation](https://docs.spectr-ai.eu/offres-et-commandes/commander.md): Commander un pentest ponctuel ou un programme annuel depuis la fiche de l'application, payer par carte, reprendre ou annuler un paiement, suivre le contrat, retrouver ses factures et remplacer sa carte.
- [Offres et commandes: Le programme annuel](https://docs.spectr-ai.eu/offres-et-commandes/programme-annuel.md): Deux évaluations complètes de la même application sur douze mois : quand lancer la seconde, comment ajuster sa date convenue, ce qui se passe en fin de contrat et en quoi il diffère d'une surveillance active.
- [Partenaires](https://docs.spectr-ai.eu/partenaires.md): Pour les cabinets de sécurité, MSSP, MSP et infogérants : la console, les espaces clients, les rôles, la marque blanche et les commandes passées pour un client.
- [Partenaires: Console et espaces clients](https://docs.spectr-ai.eu/partenaires/console.md): Comment un partenaire travaille dans SpectrAI : la console, comment entrer dans un espace client et revenir à la console, les rôles admin, analyste et lecteur, et ce que chacun voit.
- [Partenaires: Espaces clients](https://docs.spectr-ai.eu/partenaires/espaces-clients.md): Créer un espace client, inviter le client et son équipe, affecter des analystes, préparer la première cible et suivre ce qui bloque, depuis la console du partenaire.
- [Partenaires: Marque blanche](https://docs.spectr-ai.eu/partenaires/marque-blanche.md): Livrer SpectrAI sous votre marque : identité et logo, e-mails, aperçu, domaine personnalisé et expéditeur d'e-mails. Ce qui est automatique et ce qui demande une activation.
- [Partenaires: Commandes partenaires](https://docs.spectr-ai.eu/partenaires/commandes-partenaires.md): Commander une évaluation pour un client identifié depuis la console, suivre les évaluations disponibles dans le portefeuille, comprendre la facturation entre SpectrAI, le partenaire et le client final.
- [Compte et sécurité](https://docs.spectr-ai.eu/compte-et-securite.md): Connexion et second facteur, équipe et rôles d'un espace client, notifications dans l'application et par e-mail, et ce que SpectrAI fait de vos données.
- [Compte et sécurité: Connexion et second facteur](https://docs.spectr-ai.eu/compte-et-securite/connexion-et-second-facteur.md): Se connecter avec son mot de passe puis un second facteur (application d'authentification ou code par e-mail), activer ou retirer un facteur, réinitialiser son mot de passe, et ce qui est exigé selon le rôle.
- [Compte et sécurité: Équipe et rôles](https://docs.spectr-ai.eu/compte-et-securite/equipe-et-roles.md): Inviter des personnes dans un espace client, choisir leur rôle (administrateur, membre, lecteur), comprendre ce que chaque rôle permet et lire le journal d'audit.
- [Compte et sécurité: Notifications](https://docs.spectr-ai.eu/compte-et-securite/notifications.md): Les notifications de SpectrAI dans l'application et par e-mail, les rappels envoyés une seule fois par événement, et comment régler ses préférences sans perdre les messages essentiels.
- [Compte et sécurité: Données et confidentialité](https://docs.spectr-ai.eu/compte-et-securite/donnees-et-confidentialite.md): Ce que SpectrAI conserve d'un pentest, comment les comptes de test et les preuves sont protégés, ce qui est purgé, où tourne l'inférence, et ce que SpectrAI ne promet pas.
- [Référence](https://docs.spectr-ai.eu/reference.md): Les limites et engagements de SpectrAI, tous les délais et expirations en une table, le dépannage des blocages fréquents, les questions fréquentes et le journal des modifications du produit.
- [Référence: Limites et engagements](https://docs.spectr-ai.eu/reference/limites.md): Ce que SpectrAI ne fait pas, ne promet pas ou ne couvre pas aujourd'hui : périmètre, confinement, retests, comptes de test, modèles, conformité, facturation. La liste que le produit ne masque pas.
- [Référence: Délais et expirations](https://docs.spectr-ai.eu/reference/delais-et-expirations.md): Tous les délais du produit en une table : code de vérification, preuve de contrôle, contrôle au lancement, fenêtre de retests, rappels, code de second facteur, invitations, liens de partage, jetons d'agent.
- [Référence: Dépannage](https://docs.spectr-ai.eu/reference/depannage.md): Les blocages les plus fréquents et leur solution, du symptôme à l'action : preuve de contrôle, Guidance, lancement, pentest en pause, relais, paiement, second facteur, invitations et liens de partage.
- [Référence: Questions fréquentes](https://docs.spectr-ai.eu/reference/faq.md): Les réponses courtes aux questions les plus posées sur SpectrAI : périmètre, preuves, rapport, retests, relais, prix, partenaires, sécurité et conformité.
- [Référence: Utiliser la documentation avec une IA](https://docs.spectr-ai.eu/reference/agents.md): Donnez à votre assistant une page Markdown ou la documentation complète de SpectrAI, avec les liens sources, la langue et les dates de mise à jour.
- [Référence: Journal des modifications](https://docs.spectr-ai.eu/reference/journal-des-modifications.md): L'historique daté des évolutions visibles de SpectrAI, pour les clients et les partenaires : offres, parcours, relais, authentification, documentation.

## Optional

- [Full text of the documentation](https://docs.spectr-ai.eu/llms-full.txt): every page of both languages in one Markdown file
- [Site index](https://spectr-ai.eu/llms.txt): the public site of SpectrAI (offers, method, sample report, partners, contact, legal pages)
- [Sample report](https://spectr-ai.eu/en/exemple-de-rapport): a complete anonymised report, the shape of every deliverable
- [Contact](https://spectr-ai.eu/en/contact): questions about a scope, an order or a report are answered by email