Ce que Radar mesure, ce qu'il ne mesure pas, et où vont vos données.

Chaque réponse de cette page est relevée dans le code de Radar ou dans ses textes publics. Ce qu'il ne fait pas est écrit à côté de ce qu'il fait.

Méthode CS-PEE v1.0version du 03/10/2026relevé le 13/10/2026

Le détail technique de chaque point est dans la Vue DSI.

Ce que Radar voit, et ce qu'il ne voit pas.

Radar ne voit que ce que votre entreprise expose sur Internet. Il n'a besoin ni d'agent ni d'accès : rien à installer chez vous.

Ce qui est exposé sur Internet

Radar le voit, comme un attaquant le verrait.

Vos adresses sur Internet : domaines, sous-domaines, serveurs, et les services qui y répondent.Domaines, sous-domaines, adresses IP publiques, ports et services ouverts.
Le chiffrement de vos échanges et les protections de vos sites.SSL/TLS, certificats, en-têtes de sécurité HTTP.
Les failles de vos sites : formulaires qui se laissent piéger, fichiers oubliés, mots de passe par défaut.Injections (XSS, SQL), fichiers sensibles exposés, interfaces d'administration, identifiants par défaut.
Votre messagerie : peut-on écrire en votre nom ?Protections anti-usurpation du domaine : SPF, DKIM, DMARC.
Ce qui a déjà fuité : comptes, clés ou mots de passe publiés par erreur.Fuites de données (comptes compromis), secrets exposés dans du code public.
Les failles connues des logiciels dont la version se lit depuis Internet.Versions logicielles exposées, rapprochées des CVE publiées.

Le regard extérieur s'arrête ici

Ce qui reste derrière

Radar ne le voit pas.

Votre réseau interne : postes de travail, serveurs non exposés.
Ce qui demande une connexion : Radar n'utilise aucun compte que vous lui confieriez.
L'organisation : politiques, sauvegardes, formation, accès internes, sécurité physique.
Au-delà de 100 hôtes : ceux que le Deep Scan découvre en plus ne sont pas analysés en profondeur.
Ce que fait un test d'intrusion : exploiter une faille pour aller plus loin.

Sedona.AI n'est pas qualifiée PASSI (la qualification de l'ANSSI pour les prestataires d'audit de sécurité) et ne revendique ni certification ni visa de l'ANSSI. Si un cadre réglementaire ou un contrat exige un audit qualifié, faites appel à un prestataire qualifié.

Scan de Contrôle

La seule cible saisie : domaine, sous-domaine, URL ou adresse IP publique.

~45 min en médiane (mesure du 20/09/2026)Durée : médiane ≈ 45 minutes, 9 scans sur 10 entre 20 minutes et 1 h 35 (mesure du 20/09/2026).

1 point = 1 hôte

Deep Scan

Découverte des sous-domaines à partir des sources disponibles, sans garantie d'exhaustivité, puis jusqu'à 100 hôtes analysés en profondeur, en commençant par les plus sensibles (administration, API, portails…).

~1 h 25 en médianeDurée : médiane ≈ 1 h 25, 9 scans sur 10 entre 35 minutes et 4 h. Plafond atteint par 443 Deep Scans sur 997 exploitables (44 %), mesure du 20/09/2026.

Les sept phases d'un scan, à l'échelle de leur durée réelle : le déroulé, sur la page Radar.

Des requêtes de test réelles, qui s'arrêtent à la preuve.

Radar ne se contente pas de regarder : il envoie de vraies requêtes à votre domaine. Assez pour prouver qu'une faille existe, sans aller plus loin.

Radar effectue des tests actifs non destructifs — de vraies requêtes de test, y compris des charges d'injection et la vérification d'identifiants par défaut, sans exploitation aboutie (aucune donnée extraite, modifiée ou supprimée, ni déni de service, ni exécution de code).

Ce qu'il envoie à votre domaine

Il repère les portes ouvertes : quels services répondent, avec quel chiffrement.Découverte : balayage des ports, identification des services, lecture des en-têtes et des certificats.
Il cherche les fichiers et les pages oubliés : sauvegardes, configurations, administration.Requêtes vers des chemins courants : fichiers de configuration, sauvegardes, interfaces d'administration.
Il glisse des valeurs de test dans vos formulaires, pour prouver qu'un champ est vulnérable.Charges d'injection de test : un script qui n'affiche qu'une alerte, une valeur SQL qui change la réponse de la page.
Il essaie une quarantaine d'identifiants livrés par défaut, connus de tous.Identifiants par défaut : une quarantaine de paires publiques (admin/admin, root/root…), une tentative toutes les 0,5 seconde, arrêt au premier succès sur chaque formulaire. Pas d'attaque par dictionnaire.
Il vérifie si vos partages, bases de données ou outils de supervision répondent sans mot de passe.Services exposés (partages de fichiers, bases de données, supervision) : réponse sans authentification.

Une requête réelle, sur le scan de démonstration

demo.testfire.netsite de démonstration vulnérable publié par HCL13/10/2026

Dans le champ de recherche du site, Radar a glissé un petit script qui ne fait qu'afficher une alerte. La page l'a renvoyé tel quel : la faille est confirmée, sans rien extraire ni modifier.

XSS Confirmé — paramètre query sur /search.jsp

URL : http://demo.testfire.net/search.jsp?query=%3Csvg%20onload%3Dalert%281%29%20class%3Ddlx93f1fbcb%3E
Payload : <svg onload=alert(1) class=dlx93f1fbcb>
Type d'injection : inHTML

Ce qu'il ne fait jamais

Extraire, modifier ou supprimer vos données.
Saturer un service : aucun déni de service.
Exécuter du code chez vous.
Se servir d'une faille pour aller plus loin : un constat est confirmé, jamais utilisé comme point d'appui.

Une perturbation reste possible.

Les tests sont calibrés pour limiter l'impact, mais une perturbation de disponibilité reste possible sur des systèmes fragiles ou anciens : lancez de préférence le scan hors période critique. Si votre application verrouille un compte après quelques échecs de connexion, l'essai des identifiants par défaut peut le verrouiller.

Source : conditions d'utilisation de Radar (article 5) et avertissement du formulaire de scan.

Une attestation avant chaque scan, et ce qu'elle ne prouve pas.

Une attestation, à chaque scan.: Radar exige une attestation sur l'honneur, cochée à chaque scan et journalisée (date, adresse IP, cible) : vous certifiez être titulaire de la cible ou mandaté par son titulaire. Sans elle, le serveur refuse de créer un scan lancé à la demande.
Aucune preuve de propriété.: Radar ne vérifie pas techniquement que vous contrôlez le domaine (ni test DNS, ni fichier-témoin) : l'attestation engage son auteur, elle ne prouve pas la propriété. Un scan récurrent s'appuie sur l'attestation donnée à sa programmation ; une programmation créée depuis l'écran de surveillance n'en demande pas.
Des cibles refusées.: Administrations, santé publique, banques, énergie, défense, adresses privées ou réservées. La liste est volontairement courte : elle ne couvre pas toutes les entités sensibles. Elle est évaluée avant toute résolution DNS ; y ajouter une cible demande une modification du code de Radar, pas une demande en ligne.
Un arrêt à la demande du titulaire.: Le titulaire d'un domaine scanné sans son accord peut le signaler : Sedona identifie le compte à l'origine du trafic, confirme l'attestation (son existence, sa date, sa cible), arrête le scan en cours et désactive les programmations, aujourd'hui à la main. Le détail, mot pour mot : politique de divulgation et mandat de scan.

Nouveau scan

formulaire de l'application

Je certifie être le titulaire de la cible saisie — ou disposer d'une autorisation du titulaire pour la faire auditer — et j'engage ma responsabilité personnelle sur cette déclaration (art. 323-1 et suivants du Code pénal).

Conservés avec cet audit et produits au titulaire du domaine sur demande motivée : l'identifiant de votre compte, l'horodatage serveur de l'attestation, l'adresse IP d'émission et la cible ci-dessus. Modifier la cible efface cette attestation : elle devra être redonnée.

Le texte de l'attestation, tel que l'affiche le formulaire de scan de l'application.

Deux notes, qui vont en sens inverse.

Le score de risque mesure votre exposition : plus il est haut, plus c'est grave. Les six référentiels mesurent une maturité : plus c'est haut, mieux c'est. Avant de comparer avec un autre outil, vérifiez le sens de sa note.

Le score de risque

de 0 à 100

faible0–39
modéré40–69
élevé70–89
critique90–100

Il part de vos constats les plus graves : un seul défaut sérieux suffit à le faire monter, et une longue liste de détails ne le dilue pas. Il mesure l'exposition constatée, pas la probabilité qu'une attaque ait lieu.

Une note par constat, de 0 à 100 : gravité CVSS, probabilité d'exploitation (EPSS), présence au catalogue CISA KEV, exploit public connu, et contexte (une préproduction pèse moins qu'une interface d'administration exposée).
Une moyenne pondérée par rang : le constat de rang n pèse 1 ÷ n^1,5.
Un plancher posé par les constats les plus graves : 95 exécution de code à distance confirmée · 88 identifiants par défaut acceptés · 85 fichier d'environnement (.env) exposé · 75 dépôt .git exposé.
Si un secteur figure dans votre profil, la moyenne est majorée de 5 % à 30 % (banque, assurance, santé, énergie…) ; le plancher ne l'est jamais.

Sur le scan de démonstration, un mot de passe par défaut est accepté sur la page de connexion : ce constat impose un plancher de 88. Le score ne pouvait pas descendre plus bas ; il vaut 88, zone « élevé ».

Six référentiels, lus de l'extérieur

de 0 à 100 · plus haut = plus mature

scores du scan de démonstrationdemo.testfire.net

NIS2NIS2, article 21 (directive UE 2022/2555)
47
L'article 21 est surtout organisationnel, et la directive n'est pas transposée en droit français au 14/10/2026 : Radar sert à se préparer.
Ce que Radar en lit : Les points techniques observables : chiffrement, vulnérabilités et mises à jour, exposition réseau, authentification, messagerie.
RGPDRGPD, article 32
55
Registre, droits des personnes, contrats, durées de conservation : hors de portée d'un scan.
Ce que Radar en lit : Quelques signaux : données personnelles exposées publiquement, chiffrement en transit.
ISO 27001ISO/IEC 27001:2022, annexe A
49
93 contrôles, la plupart organisationnels, humains ou physiques : Radar n'en lit qu'une partie.
Ce que Radar en lit : Une partie des contrôles techniques de l'annexe A : authentification, configuration, réseau, cryptographie.
ANSSI HygièneANSSI, guide d'hygiène informatique (42 mesures)
47
Postes de travail, Wi-Fi, sauvegardes, nomadisme : hors de vue depuis Internet.
Ce que Radar en lit : Le volet exposé à Internet : messagerie, mises à jour, chiffrement, accès. Les références « R » affichées sont propres à Sedona : chacune renvoie à une mesure du guide, sans reprendre sa numérotation.
OWASP Top 10OWASP Top 10, édition 2021
46
Les symptômes vus de l'extérieur : Radar ne lit pas votre code.
Ce que Radar en lit : Les catégories qu'un test externe peut établir : contrôle d'accès, cryptographie, injection, mauvaise configuration, composants vulnérables, authentification.
Cadre SedonaCadre Sedona (CS-PEE)
47
Propre à Sedona, inspiré des référentiels français et européens : ce n'est pas un référentiel de l'ANSSI.
Ce que Radar en lit : Huit domaines notés de 0 à 100 et pondérés (détail ci-dessous).

Des indicateurs de maturité construits par Sedona : jamais une certification, jamais une attestation de conformité. Un référentiel que Radar n'a pas pu mesurer s'affiche « non mesuré », jamais avec un chiffre supposé.

Le Cadre Sedona (CS-PEE), domaine par domaine

Huit domaines pondérés (total 100), chacun noté de 0 à 100 ; la note globale est la moyenne pondérée des domaines évalués.

Vulnérabilités & obsolescence18
Sécurité applicative web16
Surface d'attaque & exposition réseau14
Chiffrement & confidentialité des flux12
Fuites de données & secrets exposés12
Accès & authentification exposés12
Durcissement & configuration8
Messagerie & anti-usurpation8

Chaque domaine part de 100 et descend selon la gravité et le nombre des constats, amorti par une racine carrée.
Un constat critique plafonne son domaine à 45 ; la note globale est plafonnée selon la gravité maximale et la fiabilité du scan.
Un domaine non mesuré est marqué « Sans objet » (aucun service de ce type exposé) ou « Auditabilité » (la mesure n'a pas abouti : la note porte sur l'auditabilité, pas sur la sécurité, et n'entre pas dans la moyenne).
Bandes : Critique (0 à 39), Fragile (40 à 54), À renforcer (55 à 69), Solide (70 à 84), Maîtrisé (85 à 100).

Aucun modèle de langage dans le scan, quelques passages dans le rapport.

Les constats, leurs preuves, leurs scores et leurs corrections viennent d'outils et de règles. Un modèle de langage n'intervient qu'après le scan, pour rédiger quelques passages de synthèse du rapport PDF.

Essentiel
Plan Starter · 20 pages sur l'exemple
2
2 passages rédigés par un modèle
- La synthèse, une page au plus
- La conclusion, 150 à 200 mots
Stratégique
Plan Business et Scale · 37 pages sur l'exemple
3
3 passages rédigés par un modèle
- La synthèse de direction, deux à trois pages
- Les scénarios d'attaque, deux à trois
- La conclusion, quinze à vingt lignes
Opérationnel
Plan Business et Scale · 66 pages sur l'exemple
1
1 passage rédigé par un modèle
- La conclusion technique

On compte des passages, pas des pages : une synthèse de direction occupe deux à trois pages. Lire les trois rapports de l'exemple.

Ce qu'il reçoit.: Des éléments déjà calculés : score et zone, nombre de constats par gravité, intitulés des constats et services concernés, note de votre chiffrementgrade TLS, notes de conformité. Ils peuvent citer vos noms de domaine, jamais votre adresse e-mail ni l'identité de votre compte.
Ce qu'il n'écrit pas.: Les constats, les preuves, les scores, les corrections. Les scénarios d'attaque du rapport Stratégique sont des récits bâtis sur les constats : Radar n'a pas réalisé ces attaques.
Ce qui est vérifié avant l'impression.: Il a l'interdiction d'inventer un chiffre, une référence de faille (CVE)une CVE ou un montant. Des contrôles automatiques retirent toute CVE absente des constats et vérifient les compteurs, le chiffrementle protocole TLS et le statut juridique de NIS2.
Qui le rédige.: Des modèles Claude d'Anthropic, aux États-Unis, sous clauses contractuelles types. Selon la politique de confidentialité de Radar, Anthropic ne conserve pas ces données au-delà du traitement.

Où vivent vos données, et combien de temps.

Votre domaine est testé depuis la France. Les résultats sont stockés en Irlande, dans l'Union européenne. L'application est hébergée par Vercel : le tableau de bord et la page de résultat d'un scan sont rendus à Dublin ; le compte, la création d'un scan et le paiement s'exécutent aux États-Unis. Pour rédiger quelques passages du rapport, des extraits du scan partent chez Anthropic, aux États-Unis, sous clauses contractuelles types.

Survolez ou touchez un nœud pour suivre ses flux.

Régions de l'application : dub1 (Dublin) pour le rendu du tableau de bord et des résultats d'un scan ; us-east-1 (Virginie du Nord) pour l'API, le compte, la création d'un scan et le paiement.

Combien de temps elles restent

Journaux techniques (Sentry, Vercel)
12 mois
Pour comprendre un incident technique.
Résultats de scan et rapports PDF
24 mois
Puis supprimés.
Journaux d'audit, sans référence à votre identité
36 mois
Conservés comme éléments de preuve, puis purgés automatiquement.
Preuve d'attestation : date, adresse IP, cible
5 ans
Dans un journal distinct, qui survit à la suppression du compte.

Si vous supprimez votre compte

La suppression du compte efface le compte, les scans et les rapports de la base de données. Les fichiers (PDF, captures d'écran) et le contact de notre outil de relation client sont effacés par des opérations distinctes : si l'une échoue, la suppression se poursuit et l'échec est consigné. Seule la preuve d'attestation reste (5 ans), parce qu'elle sert à démontrer qu'un scan avait été déclaré autorisé.

Qui d'autre en reçoit

Cinq prestataires, en plus des hébergeurs, traitent des données de votre compte ou de vos scans : Stripe (paiements, Irlande), Resend (e-mails de service, États-Unis), Brevo (relation client, France), Sentry (incidents techniques, États-Unis) et Anthropic (rédaction de quelques passages du rapport, États-Unis).

Pour compléter ses mesures, un scan interroge 15 bases publiques de sécurité avec le nom de domaine ou l'adresse IP de votre cible. Aucune ne reçoit votre identité, votre compte ni vos résultats.

Adresses, sous-traitants et sources, en détail

Qui héberge quoi : fonction, prestataire et adresse, présence dans l'Union européenne
Fonction	Prestataire	Dans l'UE
Scans et rapports	OVH SAS, RCS Lille 424 761 419, 2 rue Kellermann, 59100 Roubaix, France (datacenter de Gravelines)	Oui
Base de données et stockage	Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513 — infrastructure AWS eu-west-1 (Irlande), Union européenne	Oui
Application	Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis	En partie (Dublin)

Sous-traitants autres que les hébergeurs : ce qu'ils font, ce qu'ils reçoivent, leur pays
Prestataire	Pour quoi	Ce qu'il reçoit	Pays
Stripe Payments Europe Ltd.	Paiements et abonnements.	Identité de facturation. Aucune donnée de carte ne transite par nos serveurs.	Irlande
Resend	Envoi des e-mails de confirmation et de rapport.	Adresse e-mail et contenu des messages transactionnels.	États-Unis
Brevo	Relation client et e-mails de cycle de vie.	Adresse e-mail, plan souscrit, événements de cycle de vie.	France
Sentry	Détection des incidents techniques.	Traces d'erreur pouvant contenir un identifiant de compte.	États-Unis
Anthropic Ireland, Limited	Rédaction de quelques passages du rapport.	Données de scan (vulnérabilités, contexte technique) nécessaires à la rédaction.	États-Unis

Sources publiques de sécurité : IPinfo, Have I Been Pwned, AbuseIPDB, Shodan, GrayHatWarfare, GreyNoise, SerpAPI, Vulners, GitHub, WPScan, NVD, VirusTotal, AlienVault OTX, Censys, SecurityTrails. Vulners, NVD et WPScan ne reçoivent que les versions de logiciels détectées.

La politique de confidentialité de Radar fait foi : app.sedona-ai.com/privacy. Celle du site : politique de confidentialité du site.

La sécurité de votre compte, et la nôtre.

Vérification en deux étapes

Ouvrez votre application d'authentification et saisissez le code à 6 chiffres généré pour votre compte.

Code à 6 chiffres

L'écran de double authentification de l'application, quand elle est activée.

Votre compte

Une double authentification, en option : un code à six chiffres en plus du mot de passe.Double authentification TOTP, en option, avec codes de secours.
Les données de chaque compte isolées de celles des autres comptes.Row Level Security : isolation des données entre utilisateurs.
Le chiffrement pendant le transport et sur les serveurs.Chiffrement TLS en transit, AES-256 au repos.
Des sauvegardes quotidiennes et un journal d'audit.Sauvegardes quotidiennes, journaux d'audit.

Mesures décrites par la politique de confidentialité de Radar.

Une faille chez nous ?

Signalez-la selon notre politique de divulgation (périmètre, règles, nos engagements ; aucun programme de prime rémunérée) ou par les canaux de security.txt (norme RFC 9116). L'état du service et ses incidents récents sont publics : page d'état.

Des mesures datées, et une méthode versionnée.

Les trois premiers pourcentages sont mesurés le 10/09/2026 sur 12 717 constats issus de nos 100 derniers scans internes (du 11/08 au 10/09, cibles de démonstration et de test, pas des clients). Le quatrième est une estimation, pas une mesure.

94 %

des constats portent une preuve textuelle relevée par le moteur.

86,5 %

ont un conseil de correction.

51,9 %

ont une commande de correction exécutable.

≈ 41 %

du périmètre d'un test d'intrusion humain, selon deux estimations. Radar ne le remplace pas.

Ce qui n'est pas mesuré : le taux de faux positifs. Il n'est donc pas publié. Ce que Radar publie à la place, c'est la part des constats qui portent une preuve : 94 %, ci-dessus.

Même date, périmètre différent : toute la base, soit 1 488 scans, dont aucun démarré n'est resté sans fin. Sur les 100 derniers scans (47 Deep Scans et 30 Scans de Contrôle menés à terme), un Deep Scan sur dix a relevé 416 constats ou plus, un Scan de Contrôle sur dix 188 ou plus ; les médianes sont identiques (104 constats).

v1.0

Cadre Sedona de Posture d'Exposition Externe (CS-PEE)

Version du 03/10/2026

Chaque scan enregistre la version de la méthode qui l'a produit, et le rapport l'imprime dans sa section « Méthode d'évaluation » : relu des mois plus tard, il annonce la méthode de son jour. Un scan antérieur à cet enregistrement le dit, au lieu de se voir prêter la version actuelle.

Statut : un référentiel propriétaire d'auto-évaluation externe, non certifiant, et non publié par un organisme d'accréditation. Un bon score est une bonne nouvelle, pas un label.

Le numéro change quand change ce qui est mesuré ou la façon de noter : les domaines du cadre, leurs poids, les bandes, les plafonds de gravité, ce qu'un référentiel prend en compte. Il ne change pas pour une correction d'affichage.

03/10/2026 · version 1.0, publiée dans l'application, onglet Conformité.
14/10/2026 · la méthode devient consultable sans compte, sur cette page.

Une question que cette page ne couvre pas ?

Vincent Coderch, président de Sedona.AI, vous répond lui-même, sous 48 h ouvrées.

Parler à Vincent CoderchLancer mon scan gratuit

Sans carte bancaire 1 Scan de Contrôle offert Rien à installer Sur un domaine que vous possédez ou pour lequel vous êtes mandaté

Pour juger sur pièce : un rapport réel, sans formulaire.