Absence de protection DMARC, SPF invalide (void lookups dépassés), chiffrement web non durci et exposition du port 80 (HTTP non sécurisé) sur le portail comptable E-Compta.
| Hôte | Infrastructure | Stack Technique | Statut |
|---|---|---|---|
| www.casagrande-associes.com | SFR SA France | Nginx · WordPress · Ports 80, 443 | OK |
| E-Compta (ecompta.casagrande-associes.com) | Aqua Ray SAS France | HTTP · HTTPS — Ports 80, 443 | OK |
| Messagerie (Coaxis) | Orange S.A. / COAXIS ASP SAS | coaxis.com — MX Records | SÉCURITÉ MESSAGERIE DÉFAILLANTE |
Fait technique : Le domaine ne dispose d'aucun enregistrement DMARC.
Scénario d'exploitation : Un escroc peut envoyer des e-mails en se faisant passer pour le cabinet, en affichant une adresse de messagerie parfaitement légitime, pour transmettre un faux RIB ou une fausse demande de virement de fonds à vos clients.
Impact métier : Détournement de virements de factures, fraude au président, perte financière directe pour vos clients et atteinte grave à la réputation du cabinet, qui apparaîtra techniquement comme l'émetteur du message frauduleux.
Fait technique : Le portail comptable ecompta.casagrande-associes.com répond sur le port 80 (HTTP en clair non sécurisé) en plus du port 443 (HTTPS chiffré).
Scénario d'exploitation : Lors d'une connexion depuis un réseau partagé ou public (Wi-Fi de gare, hôtel), un attaquant peut intercepter les requêtes initiales d'un client du cabinet avant la redirection sécurisée, lui permettant de capturer les identifiants de session et de connexion au portail.
Impact métier : Vol des accès aux dossiers d'échange de documents comptables, exposant les bilans, liasses fiscales et données bancaires des clients, avec un risque immédiat de violation RGPD et de rupture de confiance.
Fait technique : L'enregistrement SPF dépasse la limite autorisée de recherches DNS (5 détectées pour un maximum de 2), ce qui invalide partiellement la protection.
Scénario d'exploitation : Cette erreur de syntaxe affaiblit les filtres anti-usurpation : certains serveurs destinataires ne pourront pas vérifier la légitimité de vos e-mails, laissant passer des messages frauduleux ou bloquant vos messages légitimes.
Impact métier : Vos e-mails professionnels authentiques peuvent finir dans le dossier spam de vos clients (provoquant des échéances fiscales ou des documents administratifs manqués), tandis que les tentatives d'usurpation de votre nom de domaine deviennent plus faciles.
Fait technique : Le serveur web n'active pas le protocole moderne TLS 1.3 et conserve deux suites de chiffrement anciennes (mode CBC) qualifiées de faibles par SSL Labs.
Scénario d'exploitation : Un attaquant positionné sur le réseau de transit (par exemple sur un hotspot Wi-Fi public) peut tenter d'exploiter ces algorithmes vieillissants pour affaiblir la confidentialité des échanges entre vos visiteurs et le site.
Impact métier : Risque résiduel d'interception de données confidentielles transmises via le site et signal de non-conformité technique aux bonnes pratiques de sécurité, exploitable lors d'un litige ou d'un audit de sécurité client.
Aucun DMARC configuré. SPF invalide en raison de void lookups excessifs (5 au lieu de 2). L'usurpation de l'adresse apparente et la délivrabilité des emails sont compromises.
Ce rapport constitue une photographie de l'exposition numérique à un instant T. Les infrastructures web étant dynamiques, certaines informations peuvent varier selon les cycles de mise à jour des bases de données de reconnaissance. Ce diagnostic ne se substitue pas à un audit d'intrusion complet mais identifie les vecteurs d'attaque visibles et exploitables.
Ce rapport couvre l'analyse de surface. Les vecteurs d'exposition complémentaires et la synthèse des points d'attention sont disponibles après validation du mandat d'analyse.