Pourquoi Rustine te demande une preuve

N’importe qui peut coller une adresse dans Rustine. Sans preuve, Rustine regarde ton site comme un visiteur et te donne un score. Avec, il regarde dedans et te montre chaque problème.

Ce que dit la loi

L’article 323-1 du Code pénal punit le fait d’entrer ou de rester sans droit dans un système informatique. Les articles suivants visent le fait d’en gêner le fonctionnement, d’en modifier les données, et de fournir un outil fait pour ça. La tentative est punie comme le délit.

Un audit complet envoie des requêtes qu’un visiteur n’envoie pas : il demande à ta base Supabase ce qu’elle laisse lire, teste tes règles CORS, cherche les pages d’administration oubliées. Sur ton site, c’est un service. Sur le site d’un inconnu, c’est ce que la loi interdit. La preuve fait la différence, et Rustine la garde avec la date de chaque audit.

Sans preuve, la surface et deux nombres

Le scan rapide lit ce que voit n’importe quel visiteur : les en-têtes, le certificat, le DNS, les fichiers publics, les versions affichées. Il marche sur n’importe quel site.

Sur un site que tu n’as pas prouvé, tu vois :

• ton score, plafonné à 80, parce qu’un scan rapide ne regarde pas dedans ;
• deux nombres : ce qu’il faut corriger tout de suite, et ce qui peut attendre.

Tu ne vois ni le nom des problèmes, ni l’endroit où ils sont. Un rapport détaillé sur le site de n’importe qui servirait d’abord à ceux qui cherchent des failles chez les autres. Le détail est réservé au propriétaire, et c’est l’API qui le retient : il n’arrive jamais jusqu’à ton navigateur.

Avec la preuve

• Chaque problème, l’endroit exact et ce qu’on a vu.
• Son correctif, à coller dans ton agent ou, en Solo et en Pro, écrit par l’AI Fix.
• L’audit complet, qui regarde ta base et tes API. Il est inclus dans Solo et Pro.

Une preuve par site, revérifiée à chaque audit

• Chaque site de ton projet se prouve à part. La preuve de monsaas.fr ne vaut ni pour le serveur qui l’héberge, ni pour un autre site.
• Ton dépôt GitHub se prouve en installant la GitHub App de Rustine.
• Ton projet Supabase, lui, tu confirmes qu’il est à toi d’une case à cocher.
• Rustine revérifie la preuve juste avant chaque audit complet. Un domaine revendu ne garde pas la sienne. Laisse donc l’enregistrement, le fichier ou la balise en place.

Avant de prouver un site, Rustine te demande d’activer la double authentification : ton compte voit les failles de tes sites, il doit être bien protégé.

Les autres adresses de ton domaine

Une fois ton site prouvé, son menu te montre sous « Repéré sur ton site » les autres adresses de ton domaine que Rustine a croisées : un lien sur ta page, une adresse dans ton JavaScript ou ta CSP, un certificat HTTPS public. Rustine ne les visite pas. « Ajouter » fait d’une adresse un site de ton projet, à prouver à son tour ; « Ignorer » la retire pour de bon.

Trois façons de prouver

Le plus simple est un enregistrement TXT dans ton DNS : choisis l’article de ton hébergeur, par exemple Cloudflare. Sans accès au DNS, prends le fichier ou la balise meta.

Et si quelqu’un d’autre scanne ton site ?

Il ne voit que la surface : ton score et deux nombres, comme toi avant de prouver. Pour que plus personne ne le scanne avec Rustine, tu peux exclure ton domaine.