Le mandat de test
Définir l'autorisation de test d'un site interne : l'application, les sous-domaines, les ports HTTPS et la durée. Comment le mandat est appliqué, ce qu'il ne permet pas, comment le modifier ou le révoquer.
Le mandat est l'autorisation de test d'une application à travers un site. Il est appliqué comme une politique réseau : ce qui n'y figure pas n'est jamais testé.
Composer le mandat#
- Dans le site, choisissez Autoriser les tests.
- Indiquez le nom d'hôte de l'application, sans schéma ni chemin (par exemple
intranet.exemple.local). Les adresses IP ne sont pas acceptées. - Choisissez si les sous-domaines sont inclus : l'autorisation couvre alors aussi tous les noms sous cet hôte.
- Précisez les ports HTTPS à autoriser, séparés par des virgules (par exemple
443, 8443). - Fixez la durée de validité, de 1 à 366 jours.
- Confirmez. La révision est enregistrée avec son signataire et sa date.
Chaque modification crée une nouvelle révision ; la révision en cours est affichée avec « autorisée par » et sa date.
Ce que le mandat garantit#
| Règle | Effet |
|---|---|
| Hors mandat, jamais testé | Seule l'application du mandat est testée. Une destination hors de ce périmètre découverte pendant le test devient une suggestion à valider, jamais un test. |
| Le contenu n'élargit rien | Un lien, une redirection ou une réponse rencontrée pendant le scan n'autorise jamais une destination hors mandat. |
| DNS et adresses bornés | Les résolutions et les adresses atteintes sont limitées au site. |
| Date de fin | Sans autorisation en cours, aucun test ne peut être lancé. Une notification prévient de l'échéance. |
Exclusions#
Le mandat est une liste d'autorisation : il n'a pas de liste d'exclusions. Pour écarter une partie de l'application, utilisez les exclusions explicites de la cible (chemins ou hôtes HTTPS à laisser hors du pentest) et les chemins exclus des garde-fous du pentest. Ce sont des consignes de test ; le confinement réseau reste celui du mandat. Voir Pendant le test.
Modifier#
Modifier l'autorisation crée une nouvelle révision qui remplace l'autorisation en cours pour les prochains tests. Les tests déjà lancés gardent la révision avec laquelle ils sont partis.
Révoquer#
Révoquer le mandat met fin immédiatement à l'autorisation en cours : les tests en cours sur le site sont arrêtés au prochain contrôle du moteur et leurs résultats ne sont pas publiés ; tout nouveau lancement, brouillon ou complément est refusé jusqu'à une nouvelle autorisation. Les rapports déjà publiés restent inchangés.
Ce que le mandat ne permet pas#
- Autoriser « tout le réseau » ou une plage d'adresses : le mandat nomme une application et ses éventuels sous-domaines.
- Tester des adresses IP nues ou des protocoles non web.
- Contourner la preuve de contrôle d'une application externe : un scan interne vise des services privés.
Compléments dans la fenêtre de soixante jours#
Après un rapport interne, des destinations découvertes dans le mandat peuvent vous être proposées pour un test ciblé, dans les soixante jours. Les approuver consomme une part de l'enveloppe réservée à ces compléments, jamais un lot de retests ni la seconde évaluation annuelle. Un nom d'hôte que l'autorisation exclut ne peut pas devenir un complément. Passé la fenêtre, les suggestions expirent et aller plus loin demande une nouvelle commande.