SauronSec
Confirmer, pas seulement détecter.
Un scanner qui « trouve » est facile. Un scanner qui prouve — puis écarte tout ce qui ne se reproduit pas — c'est ce qui fait la différence entre trier du bruit et corriger des failles.
Cartographier
Crawl profond de la surface : formulaires, paramètres cachés, API, SPA rendues au navigateur réel. Rien n'est testé à l'aveugle sans savoir ce qui existe.
Détecter
68 modules sondent chaque point d'entrée : paramètres, en-têtes, cookies, corps JSON pilotés par la spec OpenAPI. Erreur, booléen, temporel, hors-bande.
Confirmer
Chaque candidat est rejoué contre une baseline. Reflets, aléa et faux signaux sont neutralisés. Ce qui ne se reproduit pas est écarté avant même le rapport.
Rapporter
Preuve, gravité, impact et correctif concret. HTML lisible, PDF à remettre, JSON pour vos outils, SARIF pour votre CI.
La vérification anti-faux-positif
Après détection, chaque faille est ré-exploitée de façon sûre et bornée. Deux buts : écarter ce qui ne se reproduit pas, et qualifier le bénéfice réel pour un attaquant.
Rejeu contrôlé
La faille est reproduite dans les mêmes conditions. Un signal unique et attendu confirme — ou infirme.
Différentiel baseline
La réponse « propre » sert de référence. Ce qui change de façon significative est retenu ; le bruit statistique est ignoré.
Verdicts explicites
Chaque finding porte un verdict : EXPLOITABLE, VÉRIFIÉE, PIÈGE ou FAUX POSITIF.
Une limite claire, tenue par conception.
La ré-vérification est bornée et non destructive. Elle lit une preuve interne minimale pour rendre un verdict, mais ne stocke, n'affiche et ne rapporte jamais la donnée extraite. Un finding enregistre un verdict et une catégorie de bénéfice — jamais la donnée elle-même.
Ce que le scanner ne fait jamais
- Requête destructrice (DROP / DELETE / UPDATE)
- Écriture, upload ou persistance sur la cible
- Dump complet de données, forge de JWT, défacement
- Brute-force d'identifiants
Voir la preuve chiffrée.
La méthode, c'est bien. Les résultats mesurés, c'est mieux.