Documentation

Saisissez n'importe quelle URL publique et Watchpost l'examine de l'extérieur, avec le même point de vue qu'un attaquant. Une analyse standard est passive et en lecture seule : elle charge votre page d'accueil et son JavaScript, effectue une négociation TLS, réalise des requêtes DNS et interroge une courte liste de chemins connus comme /.env ou /.git/config.

Elle ne soumet jamais de formulaire, ne tente jamais de se connecter et n'envoie aucune charge d'exploitation. La plupart des analyses se terminent en moins d'une minute. Les résultats d'un même hôte sont réutilisés pendant 24 heures : les analyses répétées ne sollicitent donc pas à nouveau votre serveur.

Consultez tous les contrôles effectués dans le catalogue des contrôles.

• Passive : accessible à tous, sur n'importe quel site public. Elle ne lit que ce qui est déjà public.
• Approfondie : réservée aux propriétaires connectés ayant vérifié le domaine. Les contrôles approfondis testent activement la configuration, par exemple si des tables Supabase ou des bases Firebase sont lisibles avec la clé publique intégrée à votre site.

Les contrôles approfondis n'enregistrent que des nombres et des noms (par exemple « table profiles : 1 204 lignes lisibles »), jamais les données elles-mêmes. Les rapports d'analyse approfondie ne sont visibles que par le propriétaire du site.

Ajoutez le site depuis votre tableau de bord. Vous obtenez un jeton ; publiez-le avec l'une des méthodes suivantes, puis cliquez sur Vérifier :

1. Enregistrement DNS TXT sur l'hôte : watchpost-verify=<token>
2. Fichier à l'adresse https://your-domain/.well-known/watchpost-verify.txt contenant le jeton
3. Balise meta dans le <head> de votre page d'accueil : <meta name="watchpost-verify" content="<token>">

La propriété est revérifiée avant une analyse approfondie lorsqu'elle date de plus de 30 jours. Si le jeton a disparu, les analyses approfondies sont de nouveau verrouillées jusqu'à une nouvelle vérification.

• Analyses anonymes : 5 par minute et 50 par jour et par adresse IP.
• Les résultats d'un même hôte sont mis en cache pendant 24 heures.
• Sites dont vous êtes propriétaire : une nouvelle analyse passive toutes les 5 minutes et une analyse approfondie par heure.
• Jusqu'à 20 sites par compte.

Chaque analyse démarre à 100 points. Chaque constat retire des points selon sa gravité : critique 40, élevée 15, moyenne 5, faible 1. Le score correspond à une note : A dès 90, B dès 75, C dès 60, D dès 40, F en dessous de 40. Tout constat critique plafonne la note à D.

Une bonne note signifie que nous n'avons rien trouvé dans le périmètre de nos contrôles. Ce n'est ni un test d'intrusion ni une garantie que le site est sécurisé.

Les rapports d'analyses anonymes sont non répertoriés : toute personne disposant du lien peut les ouvrir, mais ils sont exclus des moteurs de recherche. Les rapports des sites de votre compte, passifs ou approfondis, ne sont visibles que par vous.

Les points d'accès utilisés par le site web sont ouverts, dans le respect des limites ci-dessus :

• POST /api/v1/scans avec {"url": "https://example.com"} renvoie {"id": "…"}
• GET /api/v1/scans/<id> renvoie le statut, la note et les constats
• GET /api/v1/checks renvoie le catalogue des contrôles

Merci d'identifier votre intégration avec un User-Agent explicite.