Méthode
Comment se déroule un relevé.
Mirad0r montre ce qu'un observateur extérieur voit d'un domaine, sans jamais chercher à y entrer. Le périmètre, les niveaux d'intensité et le traitement des données sont décrits ici et dans le document d'architecture du projet.
Trois niveaux d'intensité
| Niveau | Ce qui est fait | Condition |
|---|---|---|
| Passif (N0) | Sources tierces uniquement : journaux de certificats, DNS passif, archives, RDAP, RIPEstat, Shodan InternetDB (si activé), fuites agrégées, domaines proches. Résolutions DNS via des résolveurs publics. | Domaine que vous êtes autorisé à évaluer. |
| Contact léger (N1) | N0, plus une connexion TLS et une requête HTTP sur la page d'accueil de chaque service connu (ports 80 et 443), deux fichiers standards (security.txt, robots.txt) sur le domaine et www, la politique MTA-STS. Aucune redirection suivie. | Accord écrit du titulaire (titulaire ou mandat). |
| Actif (N2) | Balayage de ports, détection de vulnérabilités, permutations DNS. Non disponible dans cette version. | Preuve de possession du domaine et lettre d'autorisation signée. |
Déroulé d'un relevé N1
- Enregistrement et noms. RDAP (bureau d'enregistrement, dates, verrous, DNSSEC), puis crt.sh, Cert Spotter, HackerTarget, OTX et la Wayback Machine proposent des noms, filtrés sur le domaine déclaré. Des noms usuels (www, mail, vpn, intranet…) complètent la liste.
- DNS. Chaque nom est résolu (A, AAAA, CNAME ; MX, TXT, NS, CAA pour l'apex). Les adresses privées ou locales ne sont jamais contactées. Un enregistrement générique est détecté avec un label aléatoire.
- Réseau. RIPEstat donne l'AS et le titulaire de chaque adresse ; les CDN, WAF, clouds et hébergeurs sont reconnus par CNAME, en-têtes ou AS. Shodan InternetDB (désactivé par défaut, usage non commercial) ajoute les ports et CVE vus passivement, pondérés par EPSS et le catalogue CISA KEV.
- Services. Une poignée TLS (certificat, chaîne, protocole, clé) et une requête HTTP par service : en-têtes de sécurité, cookies, technologies, CMS, redirections. Les alias vers des services tiers abandonnés sont détectés sans jamais être revendiqués.
- Messagerie. SPF (avec comptage des recherches DNS), DMARC (politique, sous-domaines, pct, rapports), DKIM sur une liste de sélecteurs usuels, MTA-STS, TLS-RPT, BIMI, DNSSEC, CAA. Le test STARTTLS des MX n'est fait que si l'exploitant l'active.
- Fuites. Hudson Rock (infostealers, agrégats), catalogue Have I Been Pwned, SeekNow et HIBP par domaine si des clés sont configurées, GitHub si un jeton est fourni, archives Web. Les adresses sont masquées, aucun mot de passe n'est conservé ni affiché.
- Domaines proches. Variantes du nom (fautes de frappe, homoglyphes, extensions) résolues via des résolveurs publics ; celles qui existent sont listées, avec ou sans MX. Aucun contact avec ces domaines.
- Constats, score, synthèse. Des règles déterministes produisent les constats avec leur confiance. Le score vaut 100 multiplié par la gravité, l'exposition, l'exploitabilité et la confiance ; P1 dès 70, P2 dès 40, P3 dès 15. La note de A à E dépend du constat le plus grave et du nombre de P1 et P2. Le modèle de langage reformule la synthèse à partir des constats et d'agrégats : il ne reçoit ni compte, ni secret, ni capture.
Ce qui est exclu
- Aucun balayage de ports, aucune recherche de fichiers ou de chemins sensibles, aucun dictionnaire d'URL.
- Aucune tentative d'authentification, aucune utilisation d'un identifiant trouvé, aucune vérification d'un secret auprès du service concerné.
- Aucune prise de contrôle d'un sous-domaine pour « prouver » la faille.
- Aucun téléchargement de documents ou de contenus : les archives ne servent qu'à relever des URL.
- Aucune connexion vers une adresse privée, locale, de lien local ou de métadonnées cloud.
Cadre légal et données personnelles
Les articles 323-1 et suivants du Code pénal répriment l'accès et le maintien frauduleux dans un système, l'entrave à son fonctionnement et l'extraction de données. Mirad0r se tient volontairement en deçà : il observe ce qui est publié et ne force rien. L'autorisation du titulaire est demandée à chaque relevé et son identifiantMirad0r/0.2 (inventaire autorise) est présent dans chaque requête.
Le module fuites traite des données personnelles (adresses de collaborateurs). Il applique la minimisation : agrégats, adresses masquées (j***.d***@domaine), aucun mot de passe ni jeton conservé, et aucune donnée nominative transmise au modèle de langage. Le client reste responsable du traitement pour la surveillance de ses propres collaborateurs ; le prestataire agit comme sous-traitant. Les personnes concernées doivent être informées et invitées à changer leurs mots de passe.
Limites
- Les données tierces (Shodan, DNS passif, fuites) peuvent être anciennes ou incomplètes : leur confiance est affichée « potentiel ».
- Une version annoncée dans une bannière ne prouve pas une vulnérabilité : les correctifs sont souvent rétroportés.
- Les sélecteurs DKIM testés sont les plus courants ; un sélecteur spécifique n'est pas détecté.
- Sans clé SeekNow ou HIBP, la liste des comptes compromis n'est pas disponible ; les agrégats Hudson Rock le sont.