Cible
Un site ou une API publique explicitement convenu. Les sous-domaines, applications liées et autres actifs ne sont pas inclus automatiquement.
ProcessusAudit de sécurité externe conçu pour les PME
Ça fonctionne.
Mais est-ce sécurisé ?
Avant le lancement ou après une refonte, vérifiez votre exposition publique. Pour les équipes logicielles et PME sans spécialiste sécurité dédié.
Rapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
Contrôle de sécurité publique standard · US$120Revue techniqueLivrable
SERVICE SCOPE
Pour les services publics hors secteurs sensibles
Un site ou une API publique explicitement convenu. Les sous-domaines, applications liées et autres actifs ne sont pas inclus automatiquement.
Clients concernés
- SaaS et logiciels
- E-commerce et commerce de détail
- Logistique, industrie et services B2B
- Médias et autres secteurs non sensibles
Hors périmètre
- Gouvernement, banque, finance et paiement critique
- Santé et infrastructures critiques
- Systèmes accessibles uniquement par réseau privé ou VPN
- Tests non autorisés, destructifs ou de charge
- Pas de tests des fonctions connectées, des rôles multiples, des processus métier ou de la logique métier complexe.
SERVICES
Contrôles inclus
Exposition publique sans connexion, configuration de sécurité de base et risques courants vérifiables. Les contrôles sont confirmés avant commande.
Contrôles inclus
Exposition publique sans connexion, configuration de sécurité de base et risques courants vérifiables. Les contrôles sont confirmés avant commande.
ProcessusLivrable
PDF dans une langue convenue : périmètre, synthèse, preuves, impacts, recommandations et exclusions, envoyé à l’e-mail désigné.
ProcessusSIMPLE PRICING
Contrôle de sécurité publique standard · US$120
Rapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
Contrôle de sécurité publique standard · US$120US$120Rapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
- Exposition publique sans connexion, configuration de sécurité de base et risques courants vérifiables. Les contrôles sont confirmés avant commande.
- PDF dans une langue convenue : périmètre, synthèse, preuves, impacts, recommandations et exclusions, envoyé à l’e-mail désigné.
- Cible
- Un site ou une API publique explicitement convenu. Les sous-domaines, applications liées et autres actifs ne sont pas inclus automatiquement.
- Exclusions
- Pas de tests des fonctions connectées, des rôles multiples, des processus métier ou de la logique métier complexe.
- Préparation
- Indiquez entreprise, e-mail professionnel, cible et besoin. La preuve de propriété peut suivre ; l’autorisation doit être vérifiée avant les tests.
- Contre-vérification
- La contre-vérification après correction n’est pas incluse. Périmètre, dates, nombre de passages et frais sont convenus séparément.
- Frais supplémentaires
- Plusieurs cibles, des actifs supplémentaires ou une contre-vérification nécessitent un accord distinct sur le périmètre et le prix avant intervention.
Voir un exemple de rapport
Exemple de structure : cible et constat fictifs, uniquement pour montrer le format. Ni résultat client ni promesse de trouver des vulnérabilités.
Périmètre
Exemple : pages publiques sans connexion de https://example.com. Le rapport réel précise dates, chemins et méthodes.
Synthèse
Exemple : un problème de configuration à traiter. Constats vérifiés, limites et exclusions sont distingués.
Preuves
Exemple : réponse sans en-tête Content-Security-Policy. Conserver chemin, date et en-têtes expurgés. Cela seul ne prouve pas une XSS exploitable.
Impact
Une couche de protection côté navigateur peut manquer. L’impact dépend des pages et des autres protections.
Recommandation
Adapter la politique aux scripts et ressources nécessaires ; évaluer en mode rapport avant application et vérification.
Exclusions
Fonctions connectées, rôles, logique métier, sous-domaines et actifs non convenus. Aucun résultat de correction ou contre-vérification.
HOW IT WORKS
Cinq étapes jusqu’au rapport
Rapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
01→
DemandeIndiquez entreprise, e-mail professionnel, cible et besoin. La preuve de propriété peut suivre ; l’autorisation doit être vérifiée avant les tests.
02→
Prise de contactEnvoyez les informations du projet. Nous confirmerons l’éligibilité, les justificatifs et le calendrier. Une demande ne déclenche pas les tests.
03→
PaiementLes conditions d’annulation, de report et de remboursement sont expliquées avant confirmation et paiement, puis consignées dans les conditions de commande convenues.
04→
ContrôlesExposition publique sans connexion, configuration de sécurité de base et risques courants vérifiables. Les contrôles sont confirmés avant commande.
05✓
RapportRapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
CAS ANONYMISÉ
Des années de disponibilité ne prouvent pas la sécurité.
La plateforme gérait les accès des employés et les documents métier. Selon le responsable du projet, elle fonctionnait depuis des années sans anomalie quotidienne manifeste, ce qui ne prouve pas sa sécurité. Le rapport recense 12 constats : 3 critiques, 3 élevés et 6 moyens. Voici les constats et les recommandations de ce même cas.
Cas réel anonymisé : son périmètre historique ne représente pas le forfait US$120. Un constat ne prouve pas une intrusion ; aucune correction n’est annoncée sans contre-vérification.
1. Authentification
Une session valide sans identifiants normaux.
Le rapport documente une session émise par le serveur donnant accès à l’annuaire des employés et aux informations de permissions.
- Une page de connexion ne prouve pas l’efficacité de l’authentification.
2. Accès serveur
Certains services vérifiaient mal l’identité de l’appelant.
Le rapport documente des réponses contenant des informations d’employés, de partenaires et des données métier.
- Les restrictions de l’interface ne garantissent pas le contrôle côté serveur.
3. Stockage de production
Des identifiants de stockage dans les ressources du navigateur.
Le rapport documente des lectures de documents et des essais d’écriture et de suppression sur des objets de test créés pour l’évaluation.
- Confidentialité et intégrité étaient en jeu. Ces essais ne prouvent pas des dommages aux fichiers clients.
4. Traitement du contenu
Un contenu non vérifié pouvait affecter les sessions administrateur.
Certains points de soumission manquaient de contrôles ; le contenu pouvait exécuter un script lors de sa consultation par un administrateur.
- Le contenu métier peut devenir un point d’entrée vers l’administration.
5. Ordre des corrections
Fermer les accès, renouveler les secrets, revérifier.
Recommandations du rapport, sans affirmation de corrections achevées.
- Corriger l’authentification et restreindre les interfaces sensibles.
- Renouveler les secrets et limiter le stockage. Retirer une clé du code client ne suffit pas.
- Traiter les entrées de façon sûre ; revérifier les refus d’accès, l’invalidation des anciens secrets et le contenu malveillant.
Résumé anonymisé d’un rapport fourni. Identité, adresses, chemins techniques et détails d’exploitation sont omis. L’ancienneté relève du contexte du projet ; chiffres et niveaux proviennent du rapport, sans nouvelle validation ici. Cela ne prouve ni une intrusion réelle ni des corrections achevées. Périmètre convenu séparément, non représentatif de l’offre à US$120.
MINGXIRevue technique
PROFESSIONAL, PRACTICAL
Revue technique
Un ingénieur vérifie la validité des preuves, la gravité et les recommandations. L’évaluation est limitée à un périmètre et un moment donnés, sans garantie de tout détecter.
- Mingxi Security Check est un service de sécurité proposé par l’équipe Mingxi.
- hello@mingxi.io
- Nous traitons le nom de l’entreprise, les coordonnées, la demande et la preuve de propriété afin de répondre, vérifier l’autorisation, fournir le service et livrer le rapport. Les demandes sont conservées jusqu’à 12 mois. Vous pouvez demander l’accès, la rectification ou la suppression à hello@mingxi.io.
À propos
La technique, au service du concret.
Mingxi Security Check est un service de sécurité proposé par l’équipe Mingxi.
Découvrir MingxiMingxi réunit des passionnés de technologie et des spécialistes de l’IA dotés d’une solide expérience sectorielle. Nous nous intéressons aux possibilités techniques autant qu’à leur adaptation aux opérations, aux équipes et aux délais réels.
Nous comprenons l’importance de la sécurité et les contraintes de sa mise en œuvre. Avec Mingxi Security Check, nous voulons transformer les évaluations en décisions claires, recommandations applicables et actions prioritaires.
FAQ
Questions fréquentes
Que comprend US$120 ?
Exposition publique sans connexion, configuration de sécurité de base et risques courants vérifiables. Les contrôles sont confirmés avant commande. Un site ou une API publique explicitement convenu. Les sous-domaines, applications liées et autres actifs ne sont pas inclus automatiquement.
Que faut-il chiffrer séparément ?
Plusieurs cibles, des actifs supplémentaires ou une contre-vérification nécessitent un accord distinct sur le périmètre et le prix avant intervention.
Faut-il des comptes ? Les fonctions connectées sont-elles testées ?
Pas de tests des fonctions connectées, des rôles multiples, des processus métier ou de la logique métier complexe.
Quand commencent les deux jours ouvrés ?
Rapport revu par un ingénieur sous deux jours ouvrés après confirmation de la propriété, de l’autorisation, du périmètre, des éléments nécessaires et du paiement.
Que contient le rapport ? Un exemple ?
PDF dans une langue convenue : périmètre, synthèse, preuves, impacts, recommandations et exclusions, envoyé à l’e-mail désigné.
La contre-vérification est-elle payante ?
La contre-vérification après correction n’est pas incluse. Périmètre, dates, nombre de passages et frais sont convenus séparément.
Et si aucune vulnérabilité n’est détectée ?
Un rapport des contrôles et limites est livré même sans vulnérabilité détectée. L’absence de résultat ne signifie pas l’absence d’autres risques.
Annulation, report et remboursement ?
Les conditions d’annulation, de report et de remboursement sont expliquées avant confirmation et paiement, puis consignées dans les conditions de commande convenues.
Confirmer le périmètre et le délai
Envoyez les informations du projet. Nous confirmerons l’éligibilité, les justificatifs et le calendrier. Une demande ne déclenche pas les tests.
Corriger avant la mise en ligne
Un contrôle préalable réduit les interventions d’urgence.
FAQCommencer par la surface publique
Identifiez les actifs essentiels avant d’ajouter des outils.
FAQLangue du rapport personnalisable
Interface en huit langues ; langue du rapport confirmée avec chaque client.
FAQ