1. Définir et vérifier le périmètre
Le propriétaire sélectionne un dépôt GitHub ou déclare un domaine. L’accès au dépôt est limité aux choix effectués dans GitHub. Avant un contrôle actif d’un domaine, une preuve de propriété ou d’autorisation est exigée.
2. Observer avant d’explorer
Le diagnostic commence par les sources les moins intrusives : configuration publique, TLS, DNS, messagerie, dépendances, secrets et analyse statique. Ces résultats orientent ensuite les vérifications plus approfondies autorisées.
3. Qualifier et expliquer les constats
Chaque constat distingue l’observation, la conséquence possible, la gravité et la correction proposée. Lorsqu’un résultat dépend d’une hypothèse, celle-ci doit rester visible. Les constats sont regroupés pour éviter qu’un même problème apparaisse comme plusieurs alertes indépendantes.
4. Restituer sans donner une fausse garantie
Le rapport précise la date, le périmètre et les contrôles exécutés. Une analyse est une photographie partielle : elle ne constitue ni une certification réglementaire ni une garantie d’absence de vulnérabilité. Les zones non testées restent identifiées comme telles.