# Vérifier le domaine

> Prouver que vous contrôlez le domaine d'une application par un fichier HTTPS ou un enregistrement DNS TXT, comprendre les délais et résoudre les échecs de vérification.

Aucun pentest externe ne se lance sans preuve que vous contrôlez le domaine de la cible. Deux méthodes sont proposées ; une seule suffit.

## Choisir une méthode

| Méthode | Où publier | Quand la préférer |
|---|---|---|
| Fichier HTTPS | Sur l'origine exacte de l'application, à l'emplacement indiqué | Vous déployez l'application ou son serveur web |
| Enregistrement DNS TXT | Dans la zone DNS du domaine parent | Vous gérez le DNS mais pas le serveur, ou l'application refuse les fichiers statiques |

## Vérifier par fichier HTTPS

1. Dans la fiche de la cible, choisissez la vérification par fichier.
2. Copiez le code et publiez-le à l'emplacement indiqué, sur l'origine exacte (`https://app.exemple.fr/…`), en réponse directe.
3. Lancez la vérification.

La vérification refuse les redirections et les adresses IP privées, et résout le nom avant et après la lecture du fichier. Un fichier servi derrière une redirection (par exemple de `http` vers `https`, ou vers `www`) n'est pas accepté : publiez-le sur l'origine exacte de la cible.

## Vérifier par DNS TXT

1. Choisissez la vérification par enregistrement TXT.
2. Ajoutez l'enregistrement dédié (nom et valeur fournis) dans la zone DNS du domaine parent.
3. Attendez la propagation, puis lancez la vérification.

La vérification exige deux résolveurs concordants. Si votre zone est servie par plusieurs fournisseurs, publiez l'enregistrement sur tous.

## Délais

| Élément | Durée |
|---|---|
| Code de vérification | 72 heures. Après, générez un nouveau code et publiez-le. |
| Preuve acceptée | 90 jours. Une notification vous prévient 7 jours avant l'échéance. |
| Contrôle au lancement | 5 minutes. Au moment du lancement, SpectrAI recontrôle la preuve ; ce contrôle doit être frais. |

> [!WARNING]
> Une preuve expirée bloque tout nouveau lancement, y compris un pentest planifié, qui se met alors en pause avec une notification. Renouvelez la preuve, puis relancez.

## Résoudre un échec

| Message | Que faire |
| --- | --- |
| Code expiré | Générez un nouveau code, publiez-le et relancez la vérification. |
| Redirection détectée (fichier) | Servez le fichier sur l'origine exacte, sans redirection. |
| Résolveurs en désaccord (DNS) | Attendez la fin de la propagation ou vérifiez que tous vos serveurs DNS publient l'enregistrement. |
| Adresse privée | La cible doit répondre sur une adresse IPv4 publique. |
| Preuve invalidée | Une preuve peut cesser d'être valide (changement de domaine, échéance). Créez un nouveau code pour reprendre le parcours. |

## Après la vérification

La Guidance se déverrouille. Vous pouvez aussi commander une évaluation depuis la fiche de l'application. La preuve ne couvre que le domaine vérifié : une autre application est une autre cible, avec sa propre preuve.

---

https://docs.spectr-ai.eu/pentest-externe/verifier-le-domaine