Trois rapports Radar en entier, sur une cible faite pour être attaquée.
Ces trois rapports portent sur demo.testfire.net, un faux site bancaire, volontairement vulnérable, que HCL Technologies publie pour démontrer ses propres outils d'analyse. Le scan est un vrai Deep Scan du 13/10/2026 à 00:26, heure de Paris (12/10 à 22:26 UTC) ; les PDF sont ceux que Radar produit, sans retouche. Aucun rapport client n'est publié.
- Essentiel
- Le dirigeant : le score, les priorités, quoi demander. Inclus dans Starter.
- 20 pages · 163 Ko
- Stratégique
- La direction générale : risques, impact estimé, feuille de route. Inclus dans Business et Scale.
- 37 pages · 247 Ko
- Opérationnel
- L'équipe technique ou le prestataire : chaque constat, et pour les plus graves, une fiche avec la preuve et la correction. Inclus dans Business et Scale.
- 66 pages · 651 Ko
Sans carte bancaire 1 Scan de Contrôle offert Rien à installer Sur un domaine que vous possédez ou pour lequel vous êtes mandaté
Lire un rapport Radar, en six pages annotées.
Six vraies pages, tirées des trois rapports. À chaque remarque, la zone qu'elle commente s'agrandit.
Faites glisser pour changer de page, touchez un cercle pour agrandir sa zone.
Transcription de la page 3 du rapport Essentiel
Vue d'ensemble
Votre score d'exposition est de 88/100 sur une échelle où 0 = aucune faille externe et 100 = très
exposé. Un score supérieur à 70 correspond à la zone élevée : gravité estimée, exploitabilité non
vérifiée par ce scan. Les vulnérabilités se répartissent comme suit (graphique ci-dessous) — la
vulnérabilité critique en rouge est à corriger (horizon de remédiation : 30 jours).
Score d'exposition global
50
25
75
88
/ 100
0
100
ÉLEVÉ
Faible
Modéré
Élevé
Critique
0–39
40–69
70–89
90–100
Répartition des vulnérabilités
Critique
1
Élevé
6
Moyen
2
Faible
31
Transcription de la page 5 du rapport Essentiel
Vulnérabilités les plus critiques
95
Mot de passe par défaut non changé · Critique
Injection de script malveillant dans une page · Élevé
81
Certificat SSL/TLS expiré · Élevé
81
Chaîne de certification incomplète ou non… · Élevé
81
63
Version TLS obsolète activée… (CVE-2011-3389) · Moyen
51
Faille de chiffrement… (CVE-2015-4000) · Faible
46
Faille de chiffrement (BEAST)… (CVE-2011-3389) · Moyen
Fichier sensible exposé : /swagger/index.html · Moyen
40
Cookies insuffisamment protégés — session… · Faible
37
Action effectuée à l'insu d'un utilisateur… · Faible
35
Surface d'attaque
Votre périmètre expose 1 sous-domaine accessible depuis Internet. Chaque sous-domaine est
une porte d'entrée potentielle : un seul mal configuré (oublié, en développement, sans mise à
jour) suffit à un attaquant pour pénétrer. Les 3 ports ouverts détectés constituent la surface
technique principale.
demo.testfire.net
65 constats
1 hôte · HTTPS actif (port 443) · 1 avec constat
Ports ouverts : 80, 443, 8080
Transcription de la page 3 du rapport Stratégique
Indicateurs clés
Synthèse exécutive de la posture de cybersécurité évaluée depuis l'extérieur de
l'organisation.
SCORE DE RISQUE GLOBAL
VULNÉRABILITÉS À CORRIGER
88
7
Risque élevé
1 critique, 6 élevées, 2 moyennes, 31
Calcul : moyenne des scores des constats (les
faibles, 25 informationnelles
plus graves pèsent davantage), relevée au
65 vulnérabilités identifiées au total
/100
prioritaires
plancher du constat le plus grave
NIS2 — PART MESURÉE
IMPACT FINANCIER ESTIMÉ
47
47 000 —
330 000 €
%
Écarts nombreux
Directive UE 2022/2555 · sanctions jusqu'à 10
M€ une fois la directive transposée en droit
français, si votre entité y est assujettie
En cas d'exploitation des vulnérabilités
identifiées
Estimation Sedona (heuristique), à valider par
le commanditaire
Transcription de la page 20 du rapport Stratégique
7. Impact financier détaillé
Ordres de grandeur par type d'incident, en cas de matérialisation. Ces fourchettes sont une
estimation Sedona (heuristique interne) : elles ne reprennent la statistique d'aucun tiers, ne
dépendent pas des constats de ce scan et sont à valider par le commanditaire.
Scénario
Interruption de service 24h
Fourchette de coût (estimation Sedona)
5 000 — 50 000 €
Rançongiciel (chiffrement, exfiltration)
50 000 — 500 000 €
Coûts de réponse à incident
50 000 — 200 000 €
Frais juridiques (notification, conseil)
20 000 — 100 000 €
Hausse cyber-assurance post-incident
Hausse de prime (variable)
Plafonds de sanction prévus par les textes — sous réserve d'assujettissement
• Violation du RGPD : jusqu'à 20 M€ ou 4% du chiffre d'affaires annuel mondial, le montant le
plus élevé étant retenu (RGPD, art. 83)
• Manquements à NIS2, une fois la directive transposée en droit français : jusqu'à 10 M€ ou 2%
du chiffre d'affaires mondial pour une entité essentielle, 7 M€ ou 1,4% pour une entité
importante, le montant le plus élevé étant retenu (directive (UE) 2022/2555, art. 34)
Ces montants sont des plafonds de sanction (RGPD art. 83 / NIS2 art. 34), non des estimations de perte : ils ne
s'ajoutent pas aux fourchettes ci-dessus.
Ces fourchettes sont des ordres de grandeur génériques et indépendants : elles ne s'additionnent pas et ne sont pas
bornées par l'estimation globale du rapport (47 000 — 330 000 €), calculée à part à partir de la distribution des constats
par gravité (page de synthèse). Le coût réel dépend du contexte (taille, secteur, gravité de l'incident, qualité de la
réponse).
Transcription de la page 7 du rapport Opérationnel
Constats de sévérité critique — 1 vulnérabilité
Identifiants par défaut acceptés
95
/100 — Critique
Score composite
95/100
CVSS estimé (base
9.5
interne)
CWE
CWE-521
Service
web
Hôte
demo.testfire.net
Détecté par
default-creds-scanner
Confiance
80%
Description technique
Le formulaire de login à https://demo.testfire.net/login.jsp accepte la paire `jsmith /
demo1234` (différence response significative vs paire invalide). C'est une des paires
default les plus connues (`admin/admin`, `admin/password`, etc.). Tout attaquant peut se
connecter au panel d'administration en quelques secondes.
Preuve / Constat
POST https://demo.testfire.net/doLogin avec credentials `jsmith / demo1234` →
status=302 (wrong_password = status=302, body_diff=0 bytes, redirection=/bank/
main.jsp vs login.jsp, cookie session changé=True)
Remédiation
• CHANGER IMMÉDIATEMENT le mot de passe par défaut (priorité absolue).
• Forcer la rotation des credentials sur tous les comptes par défaut.
• Activer l'authentification multi-facteurs (MFA).
• Mettre en place un rate-limiting (max 5 tentatives/min).
• Configurer alerting sur multiple échecs login.
Mapping conformité
• MITRE ATT&CK : Initial Access / T1078.001 — Valid Accounts: Default Accounts
• OWASP : A07
• NIS2 : Art. 21.2.i
• ANSSI : Mesure n°10 — Choix et dimensionnement des mots de passe (Guide d'hygiène ANSSI
v2.0)
• CWE : CWE-521
Transcription de la page 5 du rapport Opérationnel
Cadre technique de l'audit
Audit non destructif de la surface externe, inspiré des méthodologies PTES (Penetration Testing
Execution Standard), OWASP Testing Guide v4.2 et NIST SP 800-115. Reconnaissance passive +
scan actif de vulnérabilité. Aucune donnée extraite ni modifiée ; essais d'identifiants par défaut et
charges d'injection non destructrices.
Cible
demo.testfire.net
Date
2026-10-12 22:26:49 UTC
Mode
Audit de surface externe (reconnaissance passive + scan actif non des‐
tructif)
Sous-domaines
1 découvert
Ports
80, 443, 8080
Outils mobilisés
Modules exécutés sur ce scan (32 sur 35) : Fuites de données (Have I Been Pwned), Empoisonnement de
cache, Exposition cloud (S3Scanner), Détection et audit de CMS, Configuration CORS, Dalfox (XSS),
Identifiants par défaut, Audit DNS et e-mail (SPF, DKIM, DMARC), Feroxbuster (répertoires), ffuf (fichiers et
répertoires), Identification des technologies, En-têtes de sécurité HTTP, Accès direct aux objets (IDOR),
Analyse JavaScript, Audit des jetons JWT, Nikto, Nmap vulners (versions vulnérables), Contournement des
refus d'accès (403), Nuclei (vulnérabilités connues), Nuclei DAST (tests dynamiques), Découverte
OpenAPI / Swagger, Scan des ports, Recherche de secrets (Gitleaks, TruffleHog), Fichiers sensibles
exposés, Contrebande de requêtes HTTP, SQLmap (injection SQL), Intégrité des scripts tiers (SRI), Audit
TLS (testssl, SSLyze), Prise de contrôle de sous-domaine, Découverte des sous-domaines, TInjA (injection
de gabarits), OWASP ZAP.
N'ont pas abouti : Arjun (paramètres cachés), Recherche Google (dorks), GraphQL (raison de chacun :
rubrique « Modules d'analyse non aboutis »).
Limites
• Surface externe uniquement — pas d'audit interne/AD/OT
• Résultats point-in-time
• Pas d'audit de code source
• Pas de social engineering
Rapport Essentielpage 3 sur 20
Le score, et ce qu'il veut dire
La première page utile du rapport du dirigeant : un nombre, une zone, et la répartition des constats.
- Plus le score est haut, plus vous êtes exposé. 88 sur 100 tombe dans la zone « élevé » (70 à 89).
- Les constats sont comptés par gravité ; le critique se traite en premier.
Rapport Essentielpage 5 sur 20
Les priorités, dans l'ordre
Les constats les plus graves, classés, puis ce que le scan a trouvé exposé sur Internet.
- En tête : un mot de passe par défaut non changé, de gravité critique. Chaque ligne porte sa gravité et son score sur 100.
- La surface exposée : un hôte, trois ports ouverts (80, 443, 8080).
Rapport Stratégiquepage 3 sur 37
La même mesure, pour une direction générale
Le rapport Stratégique condense le scan en quatre indicateurs : le score, les vulnérabilités à corriger, la part de NIS2 mesurée et l'impact estimé.
- Le score de risque, avec sa méthode de calcul écrite en clair.
- La part mesurable de NIS2 depuis l'extérieur : un indicateur de maturité, pas une conformité. La directive n'est pas encore transposée en France.
- L'impact global : une fourchette estimée par Sedona, en cas d'exploitation des vulnérabilités identifiées. À valider par vous.
Rapport Stratégiquepage 20 sur 37
L'impact, par type d'incident
Des ordres de grandeur, chiffrés par Sedona, puis les plafonds de sanction prévus par les textes. Ni une prévision, ni une somme.
- Par type d'incident : des ordres de grandeur généraux de Sedona, qui ne dépendent pas des constats de ce scan. À valider par vous.
- Les plafonds de sanction prévus par le RGPD et par NIS2, sous réserve d'assujettissement : des maximums, pas des pertes estimées. Ils ne s'ajoutent pas aux fourchettes.
Rapport Opérationnelpage 7 sur 66
Une fiche, telle que la reçoit votre prestataire
Le rapport Opérationnel consacre une fiche à chaque constat critique ou élevé : le module qui l'a établi, la preuve, et la correction.
- Le module qui a établi le constat, et le niveau de confiance qu'il lui accorde.
- La preuve : la requête envoyée, les identifiants essayés et la réponse du serveur. Votre prestataire peut la rejouer pour vérifier.
- La correction, concrète, à transmettre telle quelle. Aucune correction n'est rédigée par un modèle de langage.
Rapport Opérationnelpage 5 sur 66
Le cadre, écrit dans le rapport
Le rapport écrit lui-même son cadre : les modules exécutés sur ce scan, ceux qui n'ont pas abouti, et les limites de l'audit.
- Les modules exécutés sur ce scan, nommés un à un : 32 sur 35. L'outil qui a établi un constat est nommé sur sa fiche.
- Les trois modules qui n'ont pas abouti sont nommés ; la raison de chacun est donnée dans la rubrique « Modules d'analyse non aboutis ».
- Les limites : surface externe uniquement, résultat à une date, ni code source ni ingénierie sociale.
Ce qu'un rapport Radar ne prétend pas.
- Rien sur votre réseau interne.
- Radar ne voit que ce que l'entreprise expose sur Internet.
- Aucune exploitation.
- Des tests actifs non destructifs : aucune donnée extraite, modifiée ou supprimée.
- Pas un test d'intrusion.
- Selon nos estimations, Radar couvre environ 41 % de ce que couvre un test d'intrusion humain, et ne le remplace pas.
- Une photo datée.
- L'état de la cible le 13/10/2026, pas une veille permanente.
- Aucune certification.
- Des indicateurs de maturité sur six référentiels, pas une conformité. Sedona.AI n'est pas qualifiée PASSI.
Commencez par votre propre domaine.
Un Scan de Contrôle offert : votre score de risque, vos trois vulnérabilités les plus graves et vos scores sur six référentiels. Durée : ~45 min en médiane, hors attente dans la file (mesure du 20/09/2026). Un e-mail vous prévient quand c'est prêt.