Pour construire notre baromètre hebdomadaire et nos contrôles gratuits, un robot nommé TopSecuredScanner visite des sites de l’extérieur. Cette page explique exactement ce qu’il fait, comment le reconnaître, et comment nous demander de vous laisser tranquille.
Sur un site dont le propriétaire n’a pas demandé de contrôle, le robot ne lit que ce que n’importe quel visiteur voit déjà : il charge la page d’accueil et lit les en-têtes, le certificat (TLS), les enregistrements DNS publics (dont SPF, DKIM et DMARC), robots.txt et security.txt. Pour une page de mentions légales, il suit les liens de l’accueil ou du sitemap. Rien de plus.
Il s’identifie dans son User-Agent comme TopSecuredScanner, avec un lien vers cette page, et il provient d’un petit ensemble d’adresses dont le reverse DNS est scanner-N.top-secured.com.
.env ou .git), ne devine pas de pages cachées, et ne se connecte pas aux ports d’administration. Ces contrôles approfondis ne s’exécutent que pour un propriétaire qui a prouvé que le domaine est le sien et les a demandés.La plupart des propriétaires de sites n’ont aucun moyen simple de savoir si leur site est bien entretenu ou grand ouvert. Les attaquants scannent Internet en permanence. Nous mesurons les mêmes signaux publics d’abord, pour publier un baromètre hebdomadaire sous forme de statistiques agrégées qui ne nomment jamais un site vulnérable, et pour permettre à chaque propriétaire de savoir où il en est. Les résultats détaillés ne sont remis qu’au propriétaire, après preuve de contrôle du domaine. Nous ne nous servons jamais de tout ceci pour attaquer un site.
Vous pouvez simplement nous le dire, avec le formulaire ci-dessous : il s’applique à tous les passages futurs. Vous pouvez aussi bloquer le robot vous-même, ce que nous respectons entièrement :
robots.txt : une règle User-agent: TopSecuredScanner suivie de Disallow: / ;.top-secured.com.Un opérateur de réseau (un hébergeur, par exemple) peut nous demander d’exclure d’un coup toute une plage d’IP, avec le même formulaire.
Indiquez un domaine, une adresse IP ou un réseau (CIDR). Nous envoyons un code à 6 chiffres à votre e-mail ; votre demande n’est enregistrée qu’après confirmation avec ce code. L’exclusion est appliquée sous 72 heures et vaut pour tous les passages futurs.