# Le relais

> Comment fonctionne le relais des scans internes : un agent installé chez vous, une image signée, un mandat appliqué au niveau réseau et des destinations hors mandat jamais testées.

## Le problème

Une partie de vos applications n'est pas exposée sur Internet : intranet, outils métier, consoles d'administration, services entre machines. Un pentest externe ne les atteint pas. Le relais permet de les tester depuis l'intérieur de votre réseau, avec le même moteur, les mêmes preuves et le même rapport.

## Les pièces

| Pièce | Rôle |
|---|---|
| Site | Un réseau interne que vous déclarez dans **Sites et agents**, avec de 1 à 16 plages IPv4 privées (CIDR dans `10.0.0.0/8`, `172.16.0.0/12`, `192.168.0.0/16` ou `100.64.0.0/10`). Les déclarer n'autorise pas à les scanner. IPv6 est désactivé. |
| Agent | Un conteneur Docker installé sur une machine du site. Il n'ouvre aucun port : il se connecte uniquement vers SpectrAI, en HTTPS sortant, directement ou par le proxy de l'entreprise. |
| Mandat | L'autorisation de test d'une application à travers ce site : nom d'hôte, sous-domaines inclus ou non, ports HTTPS, durée de validité, révision signée par un membre de votre équipe. |
| Egress relay | Le composant côté SpectrAI qui applique le mandat : seules les destinations autorisées sont relayées. |

## Le modèle de confiance

- L'image de l'agent est signée et distribuée depuis `relay.spectr-ai.eu`. L'installateur vérifie son empreinte et sa signature avant de lancer l'agent.
- Un agent est **prêt** quand il s'est connecté à SpectrAI dans les 90 dernières secondes. Sans agent prêt, aucun test ne passe par le site.
- Le mandat est une **politique réseau**, appliquée par l'egress relay avec des résolutions DNS et des adresses bornées par site. Elle ne repose pas sur une consigne donnée aux agents de test.
- Seule l'application du mandat est testée. Une destination hors mandat découverte pendant le test devient une suggestion à valider, jamais un test.
- Le mandat a une date de fin. Sans autorisation en cours, aucun test ne peut être lancé sur le site. Il peut aussi être révoqué à tout moment.

## Ce que l'agent voit

L'agent relaie du trafic HTTP(S) vers les destinations du mandat. Les comptes de test fournis pour le scan transitent, pendant l'exécution, en clair dans le moteur de test et le modèle qui le pilote, comme pour un pentest externe : utilisez des comptes dédiés et révocables.

## Disponibilité pendant le test

Le relais doit rester disponible pendant toute la durée du test : machine allumée, conteneur en cours d'exécution, connexion sortante vers SpectrAI. Si l'agent se déconnecte :

- les résultats déjà collectés sont conservés ;
- le pentest s'arrête et propose une reprise explicite une fois l'agent revenu ;
- la perte du relais ne rend pas l'évaluation : la relance est couverte.

## Ce qui n'est pas couvert

- Le scan interne cible l'application web nommée dans le mandat ; il ne couvre pas un balayage des plages déclarées, des adresses IP nues ou des protocoles non web.
- Le périmètre d'un scan interne est son mandat, pas « tout le réseau ».

Voir aussi [Installer le relais](https://docs.spectr-ai.eu/scans-internes/installer-le-relais) et [Le mandat de test](https://docs.spectr-ai.eu/scans-internes/mandat-et-exclusions).

---

https://docs.spectr-ai.eu/scans-internes/relais