Vérifier le domaine
Prouver que vous contrôlez le domaine d'une application par un fichier HTTPS ou un enregistrement DNS TXT, comprendre les délais et résoudre les échecs de vérification.
Aucun pentest externe ne se lance sans preuve que vous contrôlez le domaine de la cible. Deux méthodes sont proposées ; une seule suffit.
Choisir une méthode#
| Méthode | Où publier | Quand la préférer |
|---|---|---|
| Fichier HTTPS | Sur l'origine exacte de l'application, à l'emplacement indiqué | Vous déployez l'application ou son serveur web |
| Enregistrement DNS TXT | Dans la zone DNS du domaine parent | Vous gérez le DNS mais pas le serveur, ou l'application refuse les fichiers statiques |
Vérifier par fichier HTTPS#
- Dans la fiche de la cible, choisissez la vérification par fichier.
- Copiez le code et publiez-le à l'emplacement indiqué, sur l'origine exacte (
https://app.exemple.fr/…), en réponse directe. - Lancez la vérification.
La vérification refuse les redirections et les adresses IP privées, et résout le nom avant et après la lecture du fichier. Un fichier servi derrière une redirection (par exemple de http vers https, ou vers www) n'est pas accepté : publiez-le sur l'origine exacte de la cible.
Vérifier par DNS TXT#
- Choisissez la vérification par enregistrement TXT.
- Ajoutez l'enregistrement dédié (nom et valeur fournis) dans la zone DNS du domaine parent.
- Attendez la propagation, puis lancez la vérification.
La vérification exige deux résolveurs concordants. Si votre zone est servie par plusieurs fournisseurs, publiez l'enregistrement sur tous.
Délais#
| Élément | Durée |
|---|---|
| Code de vérification | 72 heures. Après, générez un nouveau code et publiez-le. |
| Preuve acceptée | 90 jours. Une notification vous prévient 7 jours avant l'échéance. |
| Contrôle au lancement | 5 minutes. Au moment du lancement, SpectrAI recontrôle la preuve ; ce contrôle doit être frais. |
Résoudre un échec#
| Message | Que faire |
|---|---|
| Code expiré | Générez un nouveau code, publiez-le et relancez la vérification. |
| Redirection détectée (fichier) | Servez le fichier sur l'origine exacte, sans redirection. |
| Résolveurs en désaccord (DNS) | Attendez la fin de la propagation ou vérifiez que tous vos serveurs DNS publient l'enregistrement. |
| Adresse privée | La cible doit répondre sur une adresse IPv4 publique. |
| Preuve invalidée | Une preuve peut cesser d'être valide (changement de domaine, échéance). Créez un nouveau code pour reprendre le parcours. |
Après la vérification#
La Guidance se déverrouille. Vous pouvez aussi commander une évaluation depuis la fiche de l'application. La preuve ne couvre que le domaine vérifié : une autre application est une autre cible, avec sa propre preuve.