prod
Notre robot

Le robot de vérification des en-têtes HTTP de Security Audit

Qui sommes-nous ?

Security Audit est un service édité par Code Rhapsodie. Notre robot vérifie que les en-têtes HTTP de sécurité (HSTS, Content-Security-Policy, cookies, CORS…) d'un site respectent les recommandations de l'OWASP et du MDN. Il n'analyse que les sites déclarés par nos utilisateurs et dont ils ont prouvé être propriétaires (enregistrement DNS ou fichier sur le site).

Comment le reconnaître ?

  • User-Agent : CodeRhapsodie-SecurityAudit/1.0 (+https://audit.security.code-rhapsodie.fr/bot)
  • Adresses IP : 54.38.71.190

Le User-Agent pouvant être usurpé, autorisez de préférence le couple User-Agent et adresse IP.

Quelles requêtes envoie-t-il ?

À chaque analyse d'un projet, pour chacun de ses environnements :

  • une requête GET de l'URL déclarée, en suivant au plus 5 redirections ;
  • la même URL en http://, pour vérifier la redirection vers HTTPS ;
  • une requête avec un en-tête Origin fictif (https://….cors-check.example) pour tester la politique CORS, si l'utilisateur ne l'a pas désactivée ;
  • /.well-known/security.txt pour les environnements de production ;
  • /.well-known/security-audit-verification.txt tant que la propriété du site n'est pas prouvée.

Le robot n'exécute pas de JavaScript, ne soumet aucun formulaire et ne parcourt pas le site. Il se limite à 10 requêtes par minute et par domaine, et respecte l'en-tête Retry-After des réponses 429 et 503.

Comment l'autoriser ?

Si votre site est protégé par un WAF ou un anti-bot, autorisez nos adresses IP et notre User-Agent. Vous pouvez aussi définir, dans les paramètres du projet, un en-tête secret (ex. X-Scan-Token) que votre WAF autorise : il n'est envoyé qu'à votre site et stocké chiffré.

  • Cloudflare : Security › WAF › Custom rules, créez une règle avec l'action Skip (toutes les protections, dont Bot Fight Mode / Super Bot Fight Mode) et l'expression (http.user_agent contains "CodeRhapsodie-SecurityAudit" and ip.src in {…}).
  • Akamai : ajoutez nos IP à une Network List utilisée en exception du Bot Manager, ou déclarez un Custom Bot de catégorie autorisée.
  • DataDome : Settings › Custom rules, règle Allow sur le User-Agent et nos IP.
  • Imperva : Security › Policies, ajoutez une exception (Allowlist) sur nos IP pour les règles Bot Protection.
  • AWS WAF : créez un IP set avec nos IP et une règle Allow placée avant le groupe Bot Control.
  • Sucuri : Firewall › Access Control › Whitelist IP Address.

Contact

Une question ou un abus à signaler ? Écrivez-nous à contact@code-rhapsodie.fr en précisant le domaine concerné.