INRecherche & formation
Inria
Recherche en sciences et technologies du numérique.
LE PORTAIL CYBER INTERNATIONAL / DIRECTORY
Tout un monde d’expertises.
Recherchez une autorité cyber, un CERT ou CSIRT, un organisme de recherche ou un référentiel technique. Les filtres croisent pays, type d’organisme et sujet pour orienter votre recherche. Consultez ensuite le site officiel afin de vérifier sa mission, son périmètre géographique et ses conditions d’intervention.
Répartition des profils FIRST · 883
Profils dans l’instantané : 883 ·
- Government, Private and Public sectors
252 / 883 252 - Other commercial
207 / 883 207 - Industrial sector
95 / 883 95 - Financial sector
94 / 883 94 - ICT vendor customer base
57 / 883 57 - Secteur non renseigné
50 / 883 50 - Government & military
46 / 883 46 - Research & education
45 / 883 45 - ISP customer base
37 / 883 37
Le pays d’un profil et son secteur ne suffisent pas à établir son périmètre d’intervention. Confirmez les conditions sur la fiche officielle. FIRST ↗
BSInstitutions
BSI
Autorité fédérale allemande de cybersécurité.
CIInstitutions
CISA
Sécurité des infrastructures, alertes et vulnérabilités exploitées.
NIInstitutions
NIST
Cadres de risque, recherche et standards techniques.
Identités : facteurs, sessions et récupération
Repères issus de NIST SP 800-63B-4, finalisé en juillet 2025, et de WebAuthn Level 3, devenu recommandation W3C le 25 août 2026. Les AAL décrivent une transaction d’authentification ; ils ne sont ni une note de produit ni une certification obtenue en cochant ce tableau. Leur application dépend du périmètre du service et de son analyse de risque.
Les valeurs ne sont pas des durées à recopier aveuglément dans un cookie. Le NIST distingue limite globale et inactivité, puis décrit les règles de réauthentification. Une application peut retenir des durées plus courtes selon ses risques. IAL concerne la preuve d’identité et FAL la fédération : un AAL ne remplace pas ces deux dimensions.
- NIST SP 800-63B-4 · final publication ·
- NIST · Authentication Assurance Levels ·
- NIST · Authenticators and password requirements ·
- NIST · Authenticator Event Management ·
- NIST · Session Management ·
- NIST · Syncable Authenticators ·
Ouvrir le comparatif des facteurs et de la récupération →
Sources consultées le
CYInstitutions
Cyber Security Agency of Singapore
Publications et ressources nationales de cybersécurité.
UNRecherche & formation
UNIDIR
Recherche sur le désarmement, la sécurité et les technologies.
IECommunautés & standards
IETF
Standards ouverts des protocoles Internet.
Sécurité email : identité, alignement et transport
RFC 9989, publié en mai 2026, remplace RFC 7489 et RFC 9091. Les rapports agrégés et d’échec sont séparés dans RFC 9990 et RFC 9991.
La publication d’un RFC ne prouve pas que chaque fournisseur applique déjà cette version. Vérifiez sa documentation, les résultats observés et les exceptions de votre propre flux. Les exemples ici sont pédagogiques ; ils ne proposent aucun enregistrement DNS prêt à déployer.
- SPF · RFC 7208 ·
- DKIM · RFC 6376 ·
- DKIM cryptography · RFC 8301 ·
- DMARC · RFC 9989 ·
- DMARC aggregate reports · RFC 9990 ·
- DMARC failure reports · RFC 9991 ·
- MTA-STS · RFC 8461 ·
- SMTP TLS Reporting · RFC 8460 ·
- DANE for SMTP · RFC 7672 ·
- ARC · RFC 8617 ·
Consulter le comparatif et le simulateur DMARC →
Références et statut consultés le
ETag, cache HTTP et modifications concurrentes
Un ETag est un validateur opaque de la représentation sélectionnée. Il sert à comparer des versions ; il ne constitue ni une autorisation, ni un jeton d’accès, ni nécessairement le hash d’un fichier. Pour une réponse personnalisée, il faut traiter séparément les droits, la clé de cache et la condition HTTP.
If-Match impose une comparaison forte : aucun des deux tags ne doit commencer par W/. If-None-Match utilise une comparaison faible, en comparant les valeurs opaques sans tenir compte de W/. Ces valeurs restent sensibles à la casse. Le joker * teste ici l’existence de la représentation, pas une version précise.
Explorer les comparaisons et le simulateur ETag →
Références primaires et limites
Les normes décrivent les conditions HTTP et le cache. Les dix cas, le laboratoire et le parcours à deux clients sont des illustrations originales. Les résultats affichés sont calculés par ce modèle local, pas des mesures du site ni de votre infrastructure.
- IETF · RFC 9110 — HTTP Semantics · June 2022 · STD 97
§8.8.3.2; §13.1.1–13.1.2; §13.2; §15.3.5; §15.4.5 - IETF · RFC 9111 — HTTP Caching · June 2022 · STD 98
§4.1; §4.3; §5.2.2.4–5.2.2.5; §5.2.2.7 - IETF · RFC 6585 — Additional HTTP Status Codes · April 2012 · Standards Track
§3 · 428 Precondition Required
Références relues le
Retry-After : attente, budget et décision de reprise
Un délai d’attente répond à la question « quand retenter ? », pas à la question « peut-on répéter cette opération ? ». Avant toute reprise, il faut qualifier l’effet demandé, lire le contrat du fournisseur et borner le travail total. Un statut d’erreur ou une réponse perdue ne prouve pas qu’aucune tentative antérieure n’a produit d’effet.
Les durées sont des secondes. Une date absolue doit être interprétée avec une politique d’horloge explicite ; le calcul ci-dessous suppose l’horloge exacte annoncée. Une valeur passée est ramenée à zéro dans le modèle, sans autoriser une boucle immédiate. La syntaxe des entiers ne suffit pas à définir les limites numériques d’un client.
Explorer Retry-After et le modèle de reprise →
Sources primaires et limites
- IETF · RFC 9110 — Retry-After et idempotence HTTP · June 2022 · STD 97
§5.6.7; §9.2.2; §10.2.3; §15.6.4 - IETF · RFC 6585 — 429 Too Many Requests · April 2012 · Standards Track
§4
Références relues le
security.txt et divulgation
L’exposition cyber comprend aussi la capacité à recevoir un signalement utile. Un fichier security.txt peut rendre le contact visible, mais sa présence seule ne démontre pas la disponibilité du canal ni le suivi du dossier.
Lire la fiche security.txt et les cas de divulgation →
Sources primaires et périmètre
- IETF · RFC 9116 · security.txt · Informational · 2022-04
§2.3–2.5, §3–3.1, §4, §5.1–5.7
Sources vérifiées le
Robots.txt : exploration, indexation et preuves
Une URL découverte, une exploration permise, un contenu indexé et une source citée correspondent à des étapes différentes. Une réponse 200 et une règle Allow ne suffisent pas à établir qu’un moteur a choisi la page. Ce complément montre quelle preuve conserver à chaque étape.
Les trois fichiers et les douze requêtes ci-dessous sont fictifs. IndexBot, PreviewBot et OtherBot ne désignent aucun service réel. Les exemples utilisent des préfixes ASCII et une fin exacte $, sans traitement des encodages, jokers de chemin, redirections ou caches. Le filtre trie des résultats déjà expliqués : il ne teste pas un domaine et ne modifie pas le robots.txt du site.
Examiner les douze cas de robots.txt →
Sources primaires et périmètre
Les règles REP proviennent de la RFC 9309 ; les détails Google sont attribués à ses documents propres. Les exemples et le schéma sont pédagogiques. Le filtre n’effectue aucune exploration et les tableaux ne présentent aucun résultat client.
- IETF · RFC 9309 — Robots Exclusion Protocol · September 2022 · Standards Track
§2.2.1–2.2.3; §2.3–2.5; §3 - Google · Interprétation de robots.txt / robots.txt interpretation · Documentation consultée / accessed 2026-10-22
Group selection; path matching; HTTP errors and caching - Google Search Central · Block indexing with noindex · Documentation consultée / accessed 2026-10-22
Crawler access required to observe noindex - Google Search Central · Canonical URLs · Documentation consultée / accessed 2026-10-22
Signals, best practices and sitemap inclusion
Références relues le
ETCommunautés & standards
ETSI
Standards techniques et cryptographie post-quantique.
ARRecherche & formation
arXiv
Prépublications scientifiques ; évaluation par les pairs non garantie.
CLActeurs privés
Cloudflare
Analyses sur les réseaux, la sécurité et les infrastructures.
W3Communautés & standards
W3C · Web Accessibility Initiative
Standards, méthodes d’évaluation et ressources pour l’accessibilité web. Utile pour tester un parcours complet, au-delà d’un contrôle automatique.
GOActeurs privés
Google · Search Central
Documentation officielle sur l’exploration, l’indexation et les fonctionnalités IA de Google Search. Aucune garantie de classement ou de citation.
ICCommunautés & standards
ICANN · Registration Data Lookup
Consultation des données d’enregistrement de domaines. Les données masquées ou un prestataire technique ne suffisent pas à établir le contrôle d’une entité.
Informations documentaires
- Donnée ou repère vérifié
- RDAP est le protocole d’accès aux données d’enregistrement. L’outil ICANN Lookup permet de consulter les données publiques disponibles.
- Comment l’utiliser
- Conservez domaine exact, date et résultat de consultation. Séparez bureau d’enregistrement, service technique et identité de l’entité qui exploite un site.
- Limite à conserver
- Les données peuvent être masquées ou limitées. Une information de domaine ne suffit pas à attribuer un contenu ou une opération à une personne.
Documentation consultée le
IACommunautés & standards
IANA · Protocol Registries
Registres des paramètres de protocoles Internet et références associées. Pour vérifier le sens d’un code ou numéro dans son contexte normalisé.
MIRecherche & formation
MITRE · Common Weakness Enumeration
Nommer des classes de faiblesses logicielles et matérielles.
Informations documentaires
- Donnée ou repère vérifié
- Une CWE décrit une faiblesse pouvant contribuer à l’introduction de vulnérabilités. Elle ne représente pas un incident particulier.
- Comment l’utiliser
- Reliez la faiblesse au mécanisme observé : entrée, traitement et contrôle manquant. Utilisez cette description pour corriger la cause et préparer des tests de régression.
- Limite à conserver
- La présence d’un mot-clé dans un rapport ne suffit pas à établir la bonne classification CWE.
Documentation consultée le
OACommunautés & standards
OASIS · STIX 2.1
Décrire du renseignement sur les menaces avec des objets et relations structurés.
Informations documentaires
- Donnée ou repère vérifié
- STIX 2.1 est un standard OASIS du 10 juin 2021. Il définit des objets, leurs propriétés et une sérialisation JSON.
- Comment l’utiliser
- Conservez identifiants, dates, provenance et relations. Vérifiez que le destinataire interprète le même type d’objet et la même période de validité.
- Limite à conserver
- Un objet syntaxiquement valide peut rester périmé, mal attribué ou insuffisamment étayé.
Documentation consultée le
Indicateurs STIX et partage TLP
Un renseignement structuré conserve une provenance et une histoire de versions. Pour une note OSINT exploitable, séparer les faits collectés, l’assertion du producteur et la conclusion locale ; expliciter ensuite ce qui reste à confirmer.
Repère de version : l’URL OASIS « latest stage » renvoie, lors de cette vérification, à un document du 2 avril 2025 intitulé STIX 2.1 Errata 01, qui incorpore Draft 01. Son statut de projet d’errata est conservé dans la citation ; il n’est pas présenté comme une nouvelle version finale approuvée. L’encodage d’un marquage doit être convenu avec le destinataire et vérifié dans l’édition effectivement utilisée.
Consulter la fiche STIX, observations et partage TLP →
Références et périmètre de vérification
- OASIS · STIX 2.1 · OASIS Standard · 2021-06-10
§3.2, §3.6, §4.7, §4.14, §5.2, §7.2 - OASIS · STIX 2.1 Errata 01 · Draft 01 · 2025-04-02 · OASIS Standard incorporating Draft 01 of Errata 01
Status / Citation format · draft status identified separately
Sources vérifiées le
OACommunautés & standards
OASIS · TAXII 2.1
Échanger du renseignement sur les menaces par un protocole applicatif.
Informations documentaires
- Donnée ou repère vérifié
- TAXII 2.1 est un standard OASIS du 10 juin 2021. Il organise notamment la découverte de services et l’accès à des collections.
- Comment l’utiliser
- Testez authentification, droits de collection, pagination et reprise après interruption. Documentez quels objets ont réellement été reçus et traités.
- Limite à conserver
- TAXII transporte des données ; il ne remplace ni leur modèle de contenu ni leur évaluation de fiabilité.
Documentation consultée le
SPCommunautés & standards
SPDX · Specifications
Décrire les composants et informations d’une nomenclature logicielle.
Informations documentaires
- Donnée ou repère vérifié
- La page officielle distingue SPDX 3.0 de versions antérieures comme 2.3. La version du document conditionne le schéma et les outils compatibles.
- Comment l’utiliser
- Demandez le format, la version, le périmètre de construction et les identifiants des composants. Comparez la nomenclature à l’artefact effectivement livré.
- Limite à conserver
- Une nomenclature ne démontre pas à elle seule l’absence de vulnérabilité, la complétude des dépendances ou la conformité de toutes les licences.
Documentation consultée le
OWCommunautés & standards
OWASP · CycloneDX
Échanger des nomenclatures et informations de chaîne d’approvisionnement.
Informations documentaires
- Donnée ou repère vérifié
- La spécification 1.7 est datée du 21 octobre 2025 sur la page officielle, qui documente JSON, XML et Protobuf.
- Comment l’utiliser
- Vérifiez la version, les références de composants et les liens de dépendance. Conservez la relation entre la nomenclature, la construction et le produit déployé.
- Limite à conserver
- Un changement de format ne corrige pas des composants manquants. Une nomenclature descriptive et une analyse d’impact de vulnérabilité répondent à des questions différentes.
Documentation consultée le
W3Communautés & standards
W3C · WCAG 2.2
Évaluer des critères d’accessibilité du contenu web.
Informations documentaires
- Donnée ou repère vérifié
- WCAG 2.2 est une recommandation W3C. Les critères de réussite sont classés en niveaux A, AA et AAA.
- Comment l’utiliser
- Définissez tâches, pages et états à vérifier, puis combinez inspection, clavier, zoom et technologies d’assistance pertinentes. Conservez les étapes de reproduction des barrières.
- Limite à conserver
- Un scanner automatique ne démontre pas la conformité d’un parcours complet. L’évaluation doit couvrir les états interactifs et les contenus réellement utilisés.
Documentation consultée le
GOActeurs privés
Google · Core Web Vitals
Distinguer vitesse d’affichage, réactivité et stabilité visuelle.
Informations documentaires
- Donnée ou repère vérifié
- Les repères « bon » sont LCP ≤ 2,5 s, INP ≤ 200 ms et CLS ≤ 0,1, au 75e percentile, avec segmentation mobile et ordinateur.
- Comment l’utiliser
- Séparez mesures de terrain et tests de laboratoire. Relevez période, URL, appareil, population et taille d’échantillon avant de comparer une évolution.
- Limite à conserver
- Ces seuils ne sont pas des résultats mesurés de ce site. Un bon score de laboratoire ne prouve pas à lui seul l’expérience des visiteurs.
Documentation consultée le
GOActeurs privés
Google · Structured data
Décrire le contenu d’une page avec un balisage interprétable.
Informations documentaires
- Donnée ou repère vérifié
- Les données structurées aident les moteurs à comprendre le contenu. Les propriétés balisées doivent correspondre à des informations réellement présentes sur la page.
- Comment l’utiliser
- Choisissez le type correspondant à la page et vérifiez noms, dates, relations et sources. Contrôlez le rendu final, pas seulement le gabarit.
- Limite à conserver
- Un balisage valide ne suffit pas à garantir un résultat enrichi. Il ne remplace pas le contenu ni les conditions d’éligibilité propres à une fonctionnalité.
Documentation consultée le
NIInstitutions
NIST · Post-quantum cryptography
Identifier les standards utiles à une transition cryptographique.
Informations documentaires
- Donnée ou repère vérifié
- Le NIST distingue FIPS 203 pour ML-KEM, FIPS 204 pour ML-DSA et FIPS 205 pour SLH-DSA. Encapsulation de clé et signature sont des fonctions différentes.
- Comment l’utiliser
- Inventoriez protocoles, bibliothèques, clés et dépendances. Demandez les versions réellement implémentées et testez interopérabilité, performance et retour arrière.
- Limite à conserver
- La présence d’un algorithme standardisé ne démontre pas la sécurité de son intégration complète ni une échéance universelle de migration.
Cryptographie post-quantique : comparer avant de migrer →
Documentation consultée le