# Questions fréquentes

> Les réponses courtes aux questions les plus posées sur SpectrAI : périmètre, preuves, rapport, retests, relais, prix, partenaires, sécurité et conformité.

## Périmètre

### Puis-je tester tout mon domaine ou plusieurs applications avec une commande ?

Non. Une commande nomme une application et ses API associées, dans un environnement convenu. Une autre application est une autre cible et une autre commande.

### Les sous-domaines sont-ils inclus dans un pentest externe ?

Pas par défaut. Le pentest externe teste les URL HTTPS autorisées sous le domaine vérifié, celles que vous avez ajoutées dans la fiche de la cible, chacune comme une URL exacte. Rien n'est ajouté par découverte. Pour un scan interne, le mandat peut inclure les sous-domaines de l'application.

### Puis-je tester une adresse IP ou mon dépôt de code ?

Non. Les adresses IP nues, les dépôts Git, le code uploadé et les pipelines CI ne sont pas couverts.

## Preuves et rapport

### Pourquoi un finding que je soupçonne n'apparaît-il pas ?

Seules les faiblesses démontrées avec une preuve sont publiées. Un rapport sans finding atteste qu'aucune faiblesse n'a été prouvée dans le périmètre et le temps du test, pas que l'application est sûre.

### Quelqu'un relit-il le rapport avant sa publication ?

Non. L'évaluation des findings et la publication sont entièrement autonomes, après des contrôles automatiques de preuves, de périmètre et de cohérence.

### Un rapport peut-il être modifié après publication ?

Non. Chaque rapport est un instantané figé. Un nouveau pentest produit un nouveau rapport.

## Retests

### Que vérifie un retest ?

Il refait un test ciblé sur le finding d'origine. S'il ne le retrouve pas, le résultat est non concluant : il ne prouve pas que la correction est correcte. S'il le retrouve, le finding est réouvert.

### Combien de retests sont inclus ?

Deux lots par rapport, dans les soixante jours, sans plafond de corrections par lot. Ils ne consomment jamais la seconde évaluation d'un programme annuel.

## Relais et scans internes

### Que dois-je installer pour un scan interne ?

Un agent Docker sur une machine du réseau à tester, avec les commandes fournies par l'application et un code d'inscription à usage unique. Il n'ouvre aucun port entrant et doit rester disponible pendant le test. Les scans internes sont activés par SpectrAI sur votre espace après accord sur le périmètre.

### Un scan interne peut-il sortir du mandat ?

Non. Le mandat est appliqué comme une politique réseau : une destination hors mandat n'est jamais testée. Si elle est découverte pendant le scan, elle devient une suggestion à valider, jamais un test.

## Prix et commandes

### Où sont les prix ?

Ils ne sont pas publiés sur le site. Ils sont affichés au moment de la commande, dans l'application.

### Le programme annuel se renouvelle-t-il automatiquement ?

Non. C'est un engagement de douze mois, prépayé ou en douze mensualités fixes, sans renouvellement automatique.

### Puis-je être remboursé ?

Aucun remboursement n'est effectué depuis l'application. Une évaluation est rendue au contrat si le pentest est annulé avant son démarrage ou échoue pour une cause plateforme sans rapport.

## Partenaires

### Mon client voit-il le tarif partenaire ?

Non. SpectrAI facture le partenaire ; le partenaire fixe sa revente et facture son client. Le client final ne voit ni le tarif partenaire ni les factures fournisseur.

### Puis-je choisir de valider les rapports avant mes clients ?

Non. La publication est autonome pour tous les espaces ; aucune politique de validation n'existe.

## Sécurité et conformité

### Le second facteur est-il obligatoire ?

Il est proposé une fois aux clients et administrateurs, jamais imposé ; certaines actions demandent une session vérifiée. Seuls les opérateurs de la plateforme doivent l'activer.

### SpectrAI atteste-t-il une conformité NIS2 ou certifie-t-il quelque chose ?

Non. L'index NIS2 classe les preuves d'un rapport ; il n'atteste aucune conformité et ne remplace ni audit, ni qualification, ni certification.

### Où tournent les modèles de langage ?

Via une passerelle, avec un fournisseur imposé par profil et l'entraînement interdit. SpectrAI n'atteste ni une inférence dans l'Union européenne, ni que le fournisseur ne conserve rien.

---

https://docs.spectr-ai.eu/reference/faq