# Concepts clés

> Cible, preuve de contrôle, Guidance, pentest, tentative, findings, preuves, chemins d'attaque, rapport, retests : comment ces objets s'articulent dans SpectrAI.

## Le modèle en une image

```text
Agence (cabinet partenaire, ou l'agence maison SpectrAI)
└── Espace client (la frontière entre clients)
    └── Cible (une application, enregistrée une fois)
        ├── Preuve de contrôle (fichier HTTPS ou enregistrement DNS TXT)
        ├── Guidance (contexte réutilisable d'un test à l'autre)
        └── Pentest (une mission datée)
            └── Tentative(s) (exécution initiale, puis reprise éventuelle)
                ├── activité en direct
                ├── findings et preuves
                ├── chemins d'attaque dérivés
                └── rapport figé
```

Une cible n'est pas un pentest : une application est enregistrée une fois et peut être testée plusieurs fois. Une reprise crée une nouvelle tentative sur la même mission.

## Cible

Une cible est une application web nommée par son URL exacte (par exemple `https://app.exemple.fr`), avec ses API associées. Sa fiche liste les URL HTTPS autorisées sous le domaine vérifié et les exclusions explicites. Elle appartient à un espace client. Les adresses IP nues ne sont pas des cibles.

## Preuve de contrôle

Avant tout pentest externe, vous prouvez que vous contrôlez le domaine de la cible, par un fichier publié en HTTPS sur l'origine exacte ou par un enregistrement DNS TXT sur le domaine parent. Le code de vérification est valable 72 heures ; une preuve acceptée reste valable 90 jours. Voir [Vérifier le domaine](https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine).

Pour un scan interne, c'est l'autorisation de test posée sur le site (le mandat : nom d'hôte, sous-domaines éventuels, ports HTTPS, durée) qui joue ce rôle. Voir [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions).

## Guidance

La Guidance est le contexte que vous donnez aux agents : surface d'attaque, priorités, stratégie, règles de validation, documents d'API et comptes de test. Elle est versionnée ; chaque pentest part de la Guidance active de sa cible. Elle ne peut jamais élargir les URL vérifiées. Voir [Rédiger la Guidance](https://docs.spectr-ai.eu/pentest-externe/guidance).

## Pentest et tentative

Un pentest est une mission datée sur une cible, avec ses URL autorisées ordonnées et, si besoin, des comptes de test. Son exécution est une tentative. Si une tentative s'interrompt pour une cause éligible, une reprise crée une seconde tentative sur la même mission. Seuls les résultats de la dernière tentative réussie, complète et cohérente vous sont présentés.

## Findings et preuves

Un finding est une faiblesse démontrée. Il porte une sévérité (CVSS), une classification (CWE), une description, un impact, une recommandation et ses preuves : requêtes et réponses HTTP expurgées, preuve de concept ou artefacts. Ce qui n'a pas été démontré n'est pas publié. Voir [Findings et preuves](https://docs.spectr-ai.eu/resultats/findings-et-preuves).

## Chemins d'attaque

Les findings prouvés sont reliés en chemins d'attaque, avec la provenance de chaque étape. Ils sont dérivés des preuves ; ils n'ajoutent aucune hypothèse. Voir [Chemins d'attaque](https://docs.spectr-ai.eu/resultats/chemins-d-attaque).

## Rapport

Le rapport est un instantané figé d'un pentest terminé : données, marque et limites y sont fixées au moment de la publication. Il est publié automatiquement, même sans finding, et s'exporte en PDF. Voir [Le rapport](https://docs.spectr-ai.eu/resultats/rapport).

## Lots de retests

Après chaque rapport, deux lots de retests de correction sont inclus pendant soixante jours. Un lot regroupe les corrections que vous souhaitez faire vérifier. Voir [Retests de correction](https://docs.spectr-ai.eu/resultats/retests).

## Évaluation

Une évaluation est le droit de lancer un pentest complet. Un pentest ponctuel en contient une ; un programme annuel en contient deux sur douze mois. Les lots de retests sont distincts des évaluations. Voir [Le catalogue](https://docs.spectr-ai.eu/offres-et-commandes/catalogue).

## Espace client, agence, console

Un espace client isole les données d'un client. Une agence (cabinet partenaire) gère plusieurs espaces clients depuis sa console et entre dans un espace pour y travailler comme le client lui-même. Les clients directs sont rattachés à l'agence maison SpectrAI. Voir [Console et espaces clients](https://docs.spectr-ai.eu/partenaires/console).

---

https://docs.spectr-ai.eu/demarrer/concepts