Services d'administration et de transfert de fichiers exposés sur Internet. Espace client GED accessible sans protection messagerie complète.
| Hôte | Infrastructure | Stack Technique | Statut |
|---|---|---|---|
| www.cabinet-suissa.com | OVH SAS France | Nginx · WordPress | OK |
| Transfert de fichiers (FTP) | OVH SAS France | ProFTPD — Port 21 | EXPOSITION CRITIQUE |
| Administration serveur (Plesk) | OVH SAS France | Parallels Plesk — Port 8443 | EXPOSITION CRITIQUE |
| Messagerie (M365) | Microsoft France | Exchange Online | POINT CRITIQUE |
Un service de transfert de fichiers est actif et accessible depuis Internet sans restriction d'accès. Ce protocole ne chiffre ni les identifiants ni les données échangés : toute connexion établie via ce service est interceptable par un tiers positionné sur le réseau. Son exposition publique constitue un point d'entrée exploitable, indépendamment de l'usage qui en est fait en interne.
MITRE T1071 · T1048L'interface d'administration complète du serveur est accessible depuis Internet et s'exécute sur une version de langage serveur en fin de vie depuis novembre 2023 — sans correctifs de sécurité depuis cette date. Cet outil donne accès au contrôle de l'intégralité de l'infrastructure : fichiers, bases de données, emails, certificats. Son exposition publique sur des composants non maintenus élargit la surface d'attaque exploitable sans authentification préalable.
MITRE T1190 · T1078Malgré une configuration d'envoi stricte, l'adresse affichée dans la boîte de réception de vos clients n'est soumise à aucune vérification. Un attaquant peut envoyer un email affichant contact@cabinet-suissa.com comme expéditeur légitime. Vos clients — notamment ceux utilisant l'espace GED — peuvent recevoir un faux email de reconnexion indétectable.
MITRE T1566 · T1534Une vingtaine de protocoles de chiffrement obsolètes restent actifs sur l'infrastructure. Le serveur n'oblige pas les navigateurs à utiliser une connexion sécurisée. Signal d'une configuration par défaut non optimisée malgré un niveau de chiffrement principal solide.
MITRE T1600SPF strict configuré. DMARC absent — le champ expéditeur visible par vos clients reste non vérifié. L'authentification en place ne couvre pas l'usurpation de l'adresse affichée en boîte de réception.
Ce rapport constitue une photographie de l'exposition numérique à un instant T. Les infrastructures web étant dynamiques, certaines informations peuvent varier selon les cycles de mise à jour des bases de données de reconnaissance. Ce diagnostic ne se substitue pas à un audit d'intrusion complet mais identifie les vecteurs d'attaque visibles et exploitables.
Ce rapport couvre l'analyse de surface. Les vecteurs d'exposition complémentaires et la synthèse des points d'attention sont disponibles après validation du mandat d'analyse.