Ce qui est vérifié, et ce qui ne l’est pas
Vérifié
- La version de TLS et la suite de chiffrement négociées.
- Le groupe d’échange de clés obtenu par un client moderne.
- Si le serveur accepte un échange de clés post-quantique hybride (X25519MLKEM768 ou SecP256r1MLKEM768) quand un client ne propose que cela.
- Le certificat feuille : nom, confiance, validité, émetteur, clé et algorithme de signature.
- Si TLS 1.0 ou 1.1 sont encore acceptés.
Non vérifié
- Tout ce que le serveur n’expose pas lors d’une poignée de main publique.
- Les systèmes internes, API derrière la périphérie, VPN, bases de données ou autres ports.
- La cryptographie de votre code source, de vos bibliothèques, de vos clés ou de vos données au repos.
- L’évolution dans le temps : c’est un instantané unique d’un seul point d’accès.
Un CDN ou un répartiteur de charge termine généralement le TLS : le résultat décrit cette périphérie, pas les serveurs qui sont derrière.
Comment lire le verdict
- L’échange de clés concentre le risque quantique aujourd’hui. Si une session n’utilise qu’un échange classique (X25519, P-256), un attaquant qui enregistre le trafic maintenant pourrait le déchiffrer quand un ordinateur quantique suffisant existera : c’est le « harvest now, decrypt later » (en anglais). Les groupes hybrides combinent X25519 ou P-256 avec ML-KEM (FIPS 203) (en anglais) et comblent cette faille pour les clients qui les prennent en charge.
- L’authentification (le certificat) reste classique partout pour l’instant. Il n’existe pas encore de certificats post-quantiques reconnus publiquement : un certificat RSA ou ECDSA est normal et n’est pas une erreur de configuration. Il faut s’y préparer, mais rien n’est à activer aujourd’hui.
- Les anciens protocoles (TLS 1.0 et 1.1) sont signalés parce qu’ils sont obsolètes, pas à cause de l’ordinateur quantique.
Il n’y a pas de score global : un seul point d’accès public en dit peu sur la cryptographie d’une organisation.
Confidentialité
Le domaine saisi sert uniquement à lancer la vérification. Notre code ne l’écrit dans aucune base de données ni aucun journal ; le résultat est gardé en mémoire 10 minutes au plus pour éviter de solliciter à nouveau le serveur. Votre adresse IP est utilisée de façon transitoire, en mémoire, pour limiter le nombre de requêtes. Détails dans notre politique de confidentialité.
Votre site public n’est que la partie visible. CRYPTAGION inventorie la cryptographie de votre code, de vos certificats et de vos points d’accès TLS internes, et en fait un plan de migration.
Trouvez chaque algorithme dans votre code et vos systèmes internes → demander une démo← Accueil · Exposition HNDL (EN) · ML-KEM expliqué (EN) · Auto-évaluation