External Exposure Security
Secrets publics, clés API, chemins ouverts et mauvaises configurations. Le moteur les trouve et classe les constats.
L'IA aide à classer et à prioriser les constats.
ReconSec Security Assessment
demo-company.de
Surface d'attaque
Constats récents
Nommez le site dont vous souhaitez faire examiner la surface publiquement joignable.
Confirmez que vous en êtes propriétaire ou exploitant, ou que vous avez l'habilitation nécessaire pour demander le security check.
Notre moteur d'analyse parcourt le périmètre convenu, couche par couche. Vous recevez ensuite les premiers constats et leur mise en contexte par e-mail.
Pas seulement la page visible. Clés, source maps, chemins admin, en-têtes faibles et enregistrements mail peuvent aussi être publics.
Selon le périmètre, le moteur cherche notamment :
Le moteur récupère les source maps, bundles et chemins publics, puis cherche clés, secrets et autres expositions. L'IA classe : ce que c'est, pourquoi ça compte, que faire ensuite.
Détecté par ReconSec
Source map publique sur demo-company.de
/static/js/main.8f2a.js.map Secrets et données personnelles masqués
STRIPE_SECRET_KEY = sk_live_••••••••••••••••OPENAI_API_KEY = sk-••••••••••••••••••••AWS_ACCESS_KEY_ID = AKIA••••••••••••Nom = M•••••• S••••••E-mail = m••••••@example.de Mise en contexte
Une source map publique peut exposer des secrets de build et des données personnelles sans authentification. C'est le même chemin par lequel clés et identifiants arrivent sur le web ouvert.
Cesser de servir la map. Rotation des clés exposées. Livrer les bundles sans sourcesContent.
Chaque constat doit dire : quoi, où, pourquoi ça compte, quelle priorité, quelle prochaine étape.
Synthèse
61 / 100
Démo sans données clients réelles. Constats par gravité, surface et prochaine étape.
Catégories
Pourquoi c'est pertinent
Les source maps peuvent exposer des chemins internes, des commentaires et des chaînes en forme de secret issues du build, sans authentification.
Prochaine étape
Cesser de servir la map publiquement et livrer les bundles sans sourcesContent.
Pourquoi c'est pertinent
Une spécification publiquement joignable montre des endpoints et des modèles de données qui n'étaient souvent pas destinés à des utilisateurs anonymes.
Prochaine étape
Placer la documentation derrière une authentification, ou la limiter à ce qui est volontairement public.
Le site ou le domaine demandé est enregistré comme partie de la demande d'assessment.
Vous devez confirmer que vous êtes propriétaire ou exploitant, ou expressément habilité à demander le security check.
ReconSec examine uniquement la surface externe couverte par l'assessment convenu. Le check standard n'est pas conçu pour modifier des systèmes, interrompre des services ou manipuler des données.
Le détail figure dans le Scan Scope, les Security Testing Terms et la politique de confidentialité. Scan Scope · Security Testing Terms · Confidentialité
12 195
Violations confirmées dans le DBIR 2025 de Verizon, sur 22 052 incidents.
Source: Verizon DBIR 2025
4,44 M$
Coût moyen mondial d'une violation de données, IBM 2025.
88 %
Attaques web de base qui ont utilisé des identifiants volés.
Source: Verizon DBIR 2025
44 %
Violations avec rançongiciel, après 32 % l'année précédente.
Source: Verizon DBIR 2025
30 %
Violations impliquant un tiers, le double de 15 %.
Source: Verizon DBIR 2025
La partie publique que vous autorisez : secrets et clés API, source maps, chemins ouverts et documentation API, en-têtes de sécurité, TLS, DNS et mail. Le cadre est dans le Scan Scope.
Non. Le check standard reste sur la surface publique. Pas de DDoS, pas d'interruption volontaire, pas de modification destructive. Un assessment plus profond peut être convenu séparément.
Non. Vous devez en être propriétaire ou exploitant, ou être expressément habilité à demander le check.
Pour rattacher la demande. L'adresse doit appartenir au domaine du site, par exemple max@example.de pour shop.example.de. Les résultats partent vers cette adresse.
Nous documentons l'exposition, pas les personnes. Les détails personnels dans les constats sont masqués autant que possible.
Pas comme archive durable. Les résultats seulement le temps de la transmission. Les données de demande et d'habilitation restent séparées.
Par e-mail après examen de la demande. La demande publique est sans frais.
Oui. Périmètre, fenêtre et livrables sont alors convenus séparément.
Laissez le moteur vérifier quels secrets, chemins ouverts et mauvaises configurations sont publiquement joignables. Vous recevez une vue priorisée.