1 Introduction
Vous avez scanné votre domaine et obtenu une longue page : une note en lettre, des compteurs colorés, une liste de constats et huit sections remplies de tableaux. Cela fait beaucoup. La page est pourtant pensée pour se lire en quelques minutes, de haut en bas, et voici comment.
En résumé : regardez l'anneau de score pour la vue d'ensemble, corrigez d'abord les constats high, puis les medium, et ne descendez dans les sections que pour comprendre les preuves derrière un constat. Les low et les info relèvent de l'hygiène et peuvent attendre. Chaque constat renvoie au bloc qui l'explique et à une fiche de l'académie.
100
Score de départ : chaque constat lui retire des points
4
Niveaux de sévérité : high, medium, low et info (info ne coûte rien)
8
Sections du rapport, de Domain & DNS à Branding
2 Comment ça marche
Le scan lance de nombreuses vérifications indépendantes sur votre domaine (DNS, email, serveur web, certificats, sous-domaines, fichiers IA...). Chacune produit des preuves, et parfois des constats. Le rapport rassemble tous les constats en une seule liste en haut, puis présente les preuves section par section.
Anneau de score
Une note en lettre, un score sur 100 et un verdict : Healthy, Needs attention ou At risk.
Liste des constats
Tous les problèmes trouvés, du plus grave au moins grave, chacun avec un lien vers sa preuve et un lien Learn.
Sections
Les preuves brutes, groupées par thème, avec un menu latéral qui indique combien de constats contient chaque bloc.
Pas de score tant que le scan tourne
Certaines vérifications prennent plus de temps que d'autres. Tant qu'elles ne sont pas toutes terminées, l'anneau affiche « pending » au lieu d'une note : un scan à moitié fini compte moins de constats et paraîtrait meilleur qu'il ne l'est. Attendez la note avant de tirer des conclusions.
3 Analyse détaillée
Le score et la note
Le score part de 100. Chaque problème retire des points selon sa sévérité : 20 pour un high, 8 pour un medium, 3 pour un low, 0 pour un info. Deux règles gardent le chiffre juste :
Chaque problème supplémentaire coûte un peu moins
Les problèmes sont classés du plus grave au moins grave. Le premier coûte son poids plein, les suivants de moins en moins (le deuxième environ 60 %, le troisième environ 45 %, etc.). Chaque constat coûte quand même quelque chose, donc en corriger un fait toujours monter le score, mais un domaine avec dix problèmes ne se retrouve pas à zéro comme un domaine qui en a trente.
Une cause, une pénalité
Certaines faiblesses apparaissent en plusieurs constats : une Content Security Policy faible donne une ligne par directive dangereuse, un cookie à qui il manque deux attributs donne deux lignes. La liste garde toutes les lignes (chacune dit quoi changer), mais le score ne compte la cause qu'une fois, à sa sévérité la plus haute.
A
90 à 100
B
75 à 89
C
60 à 74
D
40 à 59
F
moins de 40
La couleur de l'anneau et le verdict suivent le score : Healthy à partir de 75, Needs attention de 50 à 74, At risk sous 50. Quelques exemples :
Un seul medium : 92, note A. Un seul high : 80, note B. Un high et un medium : 75, toujours B. Trois high : 58, note D. Un seul high suffit à vous faire sortir du A.
Les sévérités : high, medium, low, info
High
Quelque chose qu'un attaquant peut exploiter maintenant ou très bientôt : un sous-domaine qu'on peut reprendre, un domaine au nom duquel n'importe qui peut envoyer des emails, un serveur MCP qui laisse n'importe qui modifier des données. À corriger cette semaine.
Medium
Une vraie faiblesse qui demande une étape de plus pour être exploitée, ou qui affaiblit vos défenses : un en-tête de sécurité manquant, un security.txt expiré, une politique qui surveille sans bloquer. À planifier dans les semaines qui viennent.
Low
De l'hygiène : une bonne pratique absente ou un peu de travers. Chacun coûte peu au score. Regroupez-les et corrigez-les la prochaine fois que vous touchez à la configuration.
Info
Une observation, pas un défaut : une application mobile déclarée dans .well-known, des robots d'IA bloqués dans robots.txt. Les info méritent d'être lus, mais ils n'affectent jamais le score. Le compteur info n'apparaît que s'il y en a au moins un.
La liste des constats
Sous l'anneau, les constats high et medium sont affichés en clair, du plus grave au moins grave. Les low et les info sont repliés dans une liste fermée en dessous, pour que la première chose que vous lisez soit ce qu'il faut corriger. S'il n'y a ni high ni medium, le panneau le dit et laisse l'hygiène repliée. Chaque ligne comporte :
Un lien vers la section
Le nom de la section, à droite, mène au bloc qui contient la preuve (l'enregistrement, l'en-tête, le certificat). Lisez-le avant de modifier quoi que ce soit.
Un lien « Learn »
Chaque bloc du rapport, et chaque constat, a un lien « Learn » qui ouvre la fiche correspondante de l'académie dans un nouvel onglet : ce que signifie le résultat et comment le corriger.
Le score et les compteurs sont visibles par tous. La liste détaillée demande un compte mlab.sh gratuit.
Les sections du rapport
Le menu latéral liste chaque section et chaque bloc, avec un badge qui compte les constats de chacun, coloré selon le plus grave. Les blocs sans contenu sont masqués.
Domain & DNS
Vue d'ensemble, enregistrements DNS, DNSSEC, enregistrement du domaine, services tiers, hébergement et renseignement IP, enregistrements TXT bruts. Voir DNS.
Authentification des emails (SPF, DKIM, DMARC) et protection contre l'usurpation des noms qui n'envoient pas d'email. Voir authentification email.
Web & TLS
Négociation TLS, en-têtes de sécurité HTTP, vulnérabilités connues, endpoints well-known, requêtes réseau, robots.txt et security.txt.
Certificates
CAA, historique des certificats, certificats partagés et journal Certificate Transparency. Voir certificats, CAA et CT.
Subdomains
Sous-domaines sur le web, sous-domaines actifs, sous-domaines fantômes, candidats à la prise de contrôle et liste complète. Voir prise de contrôle de sous-domaine.
Exposure
Délégations pendantes (des domaines auxquels vous faites confiance et que n'importe qui pourrait enregistrer) et domaines sosies. Voir domaines suspects.
AI & agents
llms.txt, politique d'exploration IA, découverte d'agents et serveurs MCP. Voir votre surface IA.
Branding
Un aperçu de votre site tel que le scanner l'a vu.
Quoi corriger en premier
Tous les high, en commençant par ceux qui donnent directement quelque chose à un attaquant : une prise de contrôle de sous-domaine, une délégation pendante, une vulnérabilité connue et exploitée, un serveur MCP ouvert avec des outils d'écriture.
L'usurpation d'email : une politique DMARC absente ou non appliquée permet à n'importe qui d'envoyer en votre nom, et se corrige en général avec un seul enregistrement DNS.
Les medium, regroupés par responsable de la correction : les changements DNS ensemble, les en-têtes du serveur web ensemble, les certificats ensemble.
Les low à la prochaine intervention sur la configuration concernée. Lisez les info une fois, et n'agissez que si quelque chose vous surprend (une application que vous ne reconnaissez pas, un prestataire que vous n'utilisez plus).
Relancer un scan et « Since last time »
Après une correction, scannez à nouveau le domaine. Un changement DNS peut mettre un moment à être visible partout, selon le TTL de l'enregistrement : si la correction n'apparaît pas, patientez et réessayez. Dès qu'un scan précédent existe, le rapport gagne une section Since last time à la fin : elle compare ce passage au précédent et liste ce qui a été ajouté, retiré ou modifié, avec la date du passage précédent. Elle n'apparaît qu'une fois le scan terminé. Après une mise à jour du scanner lui-même, la comparaison est sautée une fois, pour que les nouvelles vérifications ne passent pas pour des changements de votre part.
Vérifiez votre domaine sur mlab.sh
Un scan de domaine note votre domaine sur 100, liste chaque constat du plus grave au moins grave et relie chacun à sa preuve. Relancez-le après une correction pour voir ce qui a changé.
Scanner votre domaine sur mlab.sh4 Red Flags
Un constat high, quelle que soit la note
Un B avec un high n'est pas « suffisant ». La note résume ; le high est ce qu'un attaquant utilisera.
Juger un scan encore en cours
Tant que l'anneau affiche « pending », les constats sont incomplets. Attendez la note.
S'attaquer aux low avant les high
Dix low corrigés font moins bouger le score qu'un high corrigé, et vous protègent moins. Suivez la liste dans l'ordre.
Un changement « Since last time » que personne n'a fait
Un nouvel enregistrement DNS, un nouveau sous-domaine, une politique email modifiée dont personne dans l'équipe ne se souvient : cherchez qui l'a fait. Ce peut être un prestataire oublié, ou quelqu'un d'autre.
Corriger sans lire la preuve
Ouvrez le bloc vers lequel renvoie le constat avant de toucher à quoi que ce soit. Le titre dit ce qui ne va pas ; la preuve dit précisément quel enregistrement, quel en-tête ou quel hôte.
Modules connexes
SPF, DKIM et DMARC pour votre domaine
Empêcher un attaquant d'envoyer des emails en votre nom : le rôle de SPF, DKIM et DMARC, lire un résultat de scan et atteindre p=reject sans casse.
Les en-têtes de sécurité HTTP
HSTS, CSP, X-Frame-Options, attributs de cookies : ce que bloque chaque en-tête, ce que signifie son absence dans un scan, et une configuration de départ sûre.
Prise de contrôle de sous-domaine et DNS orphelin
Comment un CNAME ou un NS oublié permet à n'importe qui de publier sur votre sous-domaine, et comment repérer et nettoyer ces entrées avant un attaquant.
Source : mlab Academy — Plateforme de sensibilisation à la cybersécurité
URL : https://academy.mlab.sh/fr-FR/page/lire-rapport-domaine
Module : Comment lire un rapport de scan de domaine — Sécuriser son domaine
Avertissement : Ce contenu est à des fins de sensibilisation uniquement.