Preuves vivantes — l'état mesuré, pas déclaré

Les six autres documents de ce dossier écrivent ce qui est en place. Celui-ci le mesure. Une sonde séparée du service interroge son interface publique toutes les heures et dépose son résultat ; cette page le relit à chaque chargement, sans cache. Rien n'est saisi à la main, et une mesure absente reste absente. Une des cinq lignes — le cloisonnement de l'origine — ne peut pas être mesurée par le serveur lui-même et vient d'ailleurs : c'est expliqué plus bas.

Les cinq preuves

Chacune de ces cinq lignes se recalcule sans moi. openssl s_client, curl -I et une requête DNS donnent les mêmes réponses depuis n'importe quelle machine — c'est précisément le critère qui les rend publiables.

Ce qui n'est pas affiché ici, et pourquoi

Cette page ne publie que des faits déjà observables de l'extérieur. Les publier, en vert comme en rouge, ne révèle rien que le premier scan venu ne trouve déjà. C'est la condition d'entrée, et elle en exclut beaucoup.

Les contrôles internes — sauvegardes, durées de rétention, application des correctifs, revue des accès — sont délibérément absents de ce tableau. La raison n'est pas qu'ils manquent : c'est qu'un état interne en temps réel est une liste priorisée de faiblesses. Un badge public qui passe au rouge annonce à la minute près quel contrôle est en défaut, et combien de temps il le reste. C'est exactement le document que la doctrine de publication de ce dossier refuse de publier — avec le direct en plus.

Ce qui est publié à leur place, c'est le mécanisme et la cadence : ce qui est vérifié, à quelle fréquence, et par quel moyen. Un échec part vers l'alerte privée, jamais vers cette page.

Savoir ce qui se publie et ce qui ne se publie pas est la première compétence qu'on attend d'un responsable de la sécurité. Cette section n'est pas l'aveu d'un trou dans le tableau : c'en est la démonstration.

Comment c'est mesuré

• La sonde ne tourne pas dans le serveur web. C'est un script séparé, lancé par une tâche planifiée toutes les heures. Une page qui mesure au moment où on la charge dépend de la réussite de la mesure : elle plante quand le réseau tombe, et elle offre un outil de charge à qui la rafraîchit en boucle.
• La sonde écrit, le serveur lit. Le résultat est déposé dans un fichier unique, remplacé d'un bloc à chaque passage, jamais modifié en place : une lecture concurrente ne peut pas tomber sur une moitié de fichier.
• Le fichier vit hors de l'arbre servi. Le déploiement de ce site remplace le contenu publié à chaque livraison ; une mesure rangée dedans serait écrasée toutes les heures par une version plus ancienne.
• Cette page n'est jamais mise en cache (Cache-Control: no-store). Une preuve servie depuis un cache n'est plus une preuve, c'est un souvenir.
• Une sonde qui échoue rend « non mesuré », pas « en défaut ». Un réseau coupé n'est pas un contrôle en défaut, et les confondre fabriquerait de fausses alertes jusqu'à ce que plus personne ne regarde la page.
• Le cloisonnement de l'origine est mesuré depuis une autre machine, une fois par jour. Une machine ne peut pas constater sa propre exposition : une requête partie du serveur vers sa propre adresse publique ne sort pas du réseau de l'hébergeur, et son échec ne prouve rien. La mesure est donc lancée depuis un point d'exécution extérieur, qui commence par établir qu'il atteint bien le site par la voie normale avant de conclure quoi que ce soit sur un silence — sans quoi une machine sans accès réseau produirait un « vérifié » parfait. Son verdict est ensuite récupéré par le serveur, qui reste en position de client : rien n'est ouvert en écriture sur la machine dont cette ligne prétend prouver le cloisonnement.

Cette page a déjà menti une fois. Le 13 septembre 2026, à sa mise en ligne, la ligne « cloisonnement de l'origine » s'affichait en vert sans que rien ne l'ait mesurée : la sonde tourne sur la machine d'origine, qui ne peut pas joindre sa propre adresse publique, et prenait cet échec pour une preuve. Corrigé le jour même — le point de vue est maintenant établi avant toute conclusion, et la ligne affiche « non mesuré » plutôt qu'un vert qu'elle ne peut pas justifier. Puis déplacée : cette ligne est désormais mesurée hors de la machine mesurée, ce qui est la seule façon honnête de la rendre autre chose que « non mesuré ». L'épisode est consigné dans le journal des incidents.