Surveillance de sécurité qui signale les vulnérabilités de votre site.

Un service automatisé qui vérifie votre site contre les malwares et les réglages de sécurité faibles, et signale chaque problème avec une gravité et une correction. Uptimia consulte Google Web Risk à chaque analyse et contrôle, une fois par jour, les versions logicielles, les paramètres TLS, les en-têtes de sécurité, les scripts de la page, les enregistrements DNS et les réglages e-mail du site.

9 groupes sur chaque moniteur. Malwares et phishing : les listes Google Web Risk pour les malwares, l’ingénierie sociale et les logiciels indésirables. Versions logicielles : PHP, nginx, Apache, OpenSSL, IIS, WordPress, Drupal et Joomla, tels qu’affichés dans les en-têtes de réponse ou la balise generator. En-têtes de sécurité : une note, HSTS et les attributs de cookies. Paramètres TLS : SSL 3.0, TLS 1.0, TLS 1.1, suites de chiffrement faibles et redirection de http:// vers HTTPS. Authentification e-mail : SPF et DMARC sur votre domaine. Contenu de la page : scripts, cadres et feuilles de style non sécurisés sur une page HTTPS, scripts d’une nouvelle source et bibliothèques JavaScript à failles connues. Enregistrements DNS : CAA et DNSSEC. Chiffrement des e-mails : STARTTLS sur vos serveurs de messagerie. MTA-STS : si votre domaine publie un enregistrement de politique.

Vous choisissez par moniteur, de toutes les heures à tous les 7 jours ; par défaut, une fois par jour. Malwares et phishing sont vérifiés à chaque analyse planifiée. Les 8 autres contrôles tournent au plus une fois par jour, dans vos analyses, donc un moniteur hebdomadaire les exécute chaque semaine. Tant qu’un problème alerte, Uptimia relance le contrôle concerné toutes les heures, donc une mise à niveau ou un réglage corrigé clôt l’incident dans l’heure ; une inscription pour malware ou phishing se clôt quand Google la retire.

Vous le réglez par moniteur. Problèmes critiques uniquement est le réglage par défaut ; Élevés et critiques ajoute les élevés. Critique couvre les malwares, le phishing, les logiciels indésirables et les logiciels en fin de vie. Élevé couvre les logiciels non corrigés, TLS 1.0 ou 1.1 et un enregistrement SPF qui laisse n’importe quel serveur envoyer des e-mails au nom de votre domaine. Les problèmes moyens et faibles n’alertent jamais ; ils sont listés sur la page du moniteur. Les résultats des contrôles du contenu de la page et du chiffrement des e-mails, et des contrôles sur domaines vérifiés, n’envoient pas d’alertes, quelle que soit leur gravité ; ils y sont listés aussi.

L’alerte nomme le moniteur et indique WARNING, ou INFECTED quand Google Web Risk liste le site. L’alerte e-mail nomme aussi le problème. La page du moniteur liste chaque problème ouvert, du plus grave au moins grave, avec ce qui a été trouvé et comment le corriger.

Par les mêmes contacts et canaux que vos autres moniteurs (e-mail, SMS, Slack, Microsoft Teams, Discord, Telegram, WhatsApp, PagerDuty, webhooks et plus), avec vos politiques d’escalade. Vous pouvez retenir une alerte jusqu’à 30 minutes avant son envoi, 5 par défaut. Un avis de rétablissement est envoyé quand les problèmes sont résolus, sauf si vous le désactivez.

Non. Uptimia trouve et classe les problèmes et affiche la correction de chacun ; vous ou votre hébergeur faites la modification. La levée d’un avertissement Google Safe Browsing relève de la procédure de Google, une fois que vous avez supprimé le malware et demandé un réexamen.

Non. Il lit ce que votre site montre publiquement, avec des requêtes, consultations et négociations en lecture seule. Uptimia ne se connecte pas, n’envoie pas de formulaires, ne teste pas d’exploits et n’inspecte ni plugins ni thèmes. Il ne remplace donc pas un test d’intrusion et ne trouve pas toutes les failles.

Uptimia juge les versions que le site affiche — dans les en-têtes Server, X-Powered-By et X-AspNet-Version et dans la balise generator de la page. Un serveur qui masque sa version, ou un CDN placé devant, ne laisse aucune version à juger. Les builds Debian, Ubuntu et RHEL sont classés un niveau plus bas, car ces distributions corrigent d’anciens numéros de version.

Chaque moniteur part d’une URL et lit cette page. Ajoutez un moniteur pour chaque sous-domaine ou page à surveiller. Les contrôles e-mail, DNS et messagerie portent sur le domaine auquel appartient l’URL. Sur un domaine vérifié, Uptimia lit aussi jusqu’à 4 pages liées depuis cette URL.

Non. La surveillance des listes noires vérifie si votre domaine ou l’IP de votre serveur figure sur des listes de blocage DNS, ce qui influe sur la remise de vos e-mails. La surveillance de la sécurité contrôle le site lui-même — Google Web Risk plus les contrôles quotidiens.

Chaque forfait payant inclut des moniteurs de sécurité, et l’essai de 30 jours les inclut en totalité. Les contrôles sur domaines vérifiés demandent le forfait Professional ou supérieur ; l’essai les inclut aussi. Le forfait gratuit n’inclut pas de moniteurs de sécurité.

Vous ajoutez un enregistrement DNS ou un fichier pour prouver que le domaine vous appartient. La preuve couvre ses sous-domaines, et Uptimia la revérifie une fois par jour. 5 autres contrôles tournent alors sur ce domaine : ports ouverts, sous-domaines pointant vers des services hébergés non réclamés, dossiers de fichiers de votre page qui listent leur contenu, réglages cross-origin et requêtes TRACE, et formulaires ou contenus non sécurisés sur jusqu’à 4 pages liées depuis l’URL surveillée. Chaque exécution couvre jusqu’à 20 sous-domaines, 4 dossiers et 4 pages ; sur les sites plus grands, les exécutions suivantes passent au reste. Les sites derrière un CDN sautent le contrôle des ports, car il n’atteindrait que le CDN. Tous ces contrôles sont en lecture seule.

Les contrôles de page lisent le HTML envoyé par le serveur, jusqu’aux premiers 2 Mo, sans exécuter de scripts. Un script ajouté par un gestionnaire de balises après le chargement, ou du code inséré dans un fichier que la page utilise déjà, n’apparaît pas. Les bibliothèques sont jugées d’après la version dans l’adresse du script, donc une copie regroupée ou renommée n’apparaît pas non plus. Les scripts présents à la première analyse forment la liste de départ et ne sont pas signalés. Un contrôle qui ne peut pas aboutir garde ses résultats précédents ouverts et est relancé lors d’une analyse ultérieure ; il s’affiche comme Unknown et ne compte jamais comme sain.