Surveillance des vulnérabilités du CMS pour Drupal, Joomla, PrestaShop et Magento.
Relvato lit quel CMS fait tourner votre site et ce que l'on voit de sa version depuis l'extérieur, puis la croise avec les vulnérabilités connues du cœur et les dates de fin de vie. Rien à installer sur le site.
- ✓Le CMS qui fait tourner le site : Drupal, Joomla, PrestaShop ou Magento
- ✓Ce que l'on voit de sa version depuis l'extérieur : la version exacte, seulement la version majeure, ou rien
- ✓Version exacte : chaque vulnérabilité connue du cœur qui la concerne, avec la version qui la corrige
- ✓Seulement la version majeure (Drupal 8 et suivants n'affichent que « Drupal 10 », Magento affiche « 2.4 ») : les avis de l'année écoulée pour cette branche et la version sur laquelle être
- ✓Les versions en fin de vie, comme Drupal 7, Joomla 3 et 4 ou Magento 1, toujours signalées
- ✓Un blocage par le pare-feu signalé comme « n'a pas pu s'exécuter », jamais comme un résultat sain
Un cœur de CMS avec une faille publiée est l'une des premières choses que les attaquants recherchent, et une version en fin de vie ne reçoit plus aucun correctif de sécurité : c'est le cas de Drupal 7, de Joomla 3 et 4 et de Magento 1. Sans extension, rien sur le site ne vous le dit. Relvato regarde de l'extérieur et ne dit que ce qu'il voit vraiment : chaque avis avec son correctif quand la version exacte est visible, la version sur laquelle être quand seule la version majeure l'est. Votre site tourne sous WordPress ? Utilisez plutôt la surveillance des vulnérabilités : elle lit vos extensions, vos thèmes et WordPress lui-même de l'intérieur.
- Lit votre page d'accueil comme le navigateur d'un visiteur, à la recherche des traces que laisse chaque CMS : sa balise generator, ses en-têtes de réponse, les chemins de ses scripts et feuilles de style.
- Demande au plus un fichier public livré avec le CMS, et seulement s'il montre davantage de la version : /administrator/manifests/files/joomla.xml pour Joomla, /CHANGELOG.txt pour Drupal 7 ou /magento_version pour Magento. Des requêtes en lecture seule, rien d'autre.
- Croise la version avec les vulnérabilités connues du cœur issues d'OSV.dev, de la NVD et du Joomla! Security Centre, et avec les dates de fin de vie d'endoflife.date. Une version exacte est croisée avis par avis ; si seule la version majeure est visible, vous obtenez la version sur laquelle être ; si aucune version n'est visible, les dernières versions.
Source des donnéesOSV.dev (GitHub Advisory Database, CC BY 4.0, and the Drupal Security Team's database), NVD (National Vulnerability Database), Joomla! Security Centre, endoflife.date
Sur quels sites fonctionne-t-il ?
Sur les sites Drupal, Joomla, PrestaShop et Magento (Adobe Commerce), depuis l'extérieur, sans rien installer. Sur un site qui n'est aucun des quatre, il indique qu'il ne s'applique pas. Les sites WordPress ont leur propre moniteur de vulnérabilités, qui lit les extensions, les thèmes et WordPress lui-même de l'intérieur : celui-ci n'y est donc pas proposé.
Couvre-t-il mes modules et extensions ?
Non. Les modules Drupal, les extensions Joomla, les modules PrestaShop et les extensions Magento n'affichent pas leur version à l'extérieur : ce moniteur couvre donc uniquement le cœur du CMS. Tenez vos extensions à jour depuis l'administration de votre CMS.
Pourquoi « assurez-vous d'être sur » plutôt que « vulnérable » ?
Parce que souvent seule la version majeure est visible. Drupal 8 et suivants n'affichent que « Drupal 10 » dans la page, et /magento_version de Magento n'affiche que « 2.4 ». Avec cela, Relvato ne peut pas distinguer une ancienne version 10.x de la plus récente : il ne dit donc jamais que le site est vulnérable. Il donne à la place un avertissement, par exemple : « 3 avis de l'année écoulée concernent certaines versions 10.x — assurez-vous d'être en 10.6.20 ou plus récente ». Quand la version exacte est visible (le fichier manifeste de Joomla, le CHANGELOG.txt de Drupal 7), chaque avis qui la concerne est signalé comme un problème, avec la version qui le corrige. Quand aucune version n'est visible, comme sur PrestaShop 1.7 et suivants, vous recevez un rappel des dernières versions, sans rien affirmer.
Et les versions en fin de vie ?
Elles sont toujours signalées dès que la version ou la branche est visible, car elles ne reçoivent plus de correctifs de sécurité : Drupal 7, Joomla 3 et 4, Magento 1, avec la version vers laquelle migrer. Les dates de fin de vie viennent d'endoflife.date ; celle de Magento 1 (30 juin 2020) est intégrée. PrestaShop ne figure pas sur endoflife.date : Relvato n'affirme donc rien sur sa fin de vie.
Et si mon pare-feu bloque Relvato ?
Si la page d'accueil répond par un blocage (HTTP 401, 403 ou 429) ou une page anti-bot, l'exécution est signalée comme « n'a pas pu s'exécuter », jamais comme saine. Si seul le fichier du CMS est refusé, Relvato s'en tient à ce que montrait la page d'accueil. Pour laisser passer Relvato, autorisez ses requêtes dans votre pare-feu.
D'où viennent les données de vulnérabilités ?
D'OSV.dev (la GitHub Advisory Database et la base de données de la Drupal Security Team), de la NVD et du Joomla! Security Centre, fusionnées quand elles décrivent le même avis et mises à jour chaque jour. Les dates de fin de vie viennent d'endoflife.date. Chaque résultat renvoie à son avis. Mention de la NVD (en version originale) : « This product uses the NVD API but is not endorsed or certified by the NVD. »
Dois-je prouver que le site m'appartient, et à quelle fréquence tourne-t-il ?
Oui : il liste les failles connues du logiciel d'un site, il ne tourne donc que sur un site dont vous avez prouvé la propriété, par un enregistrement DNS ou une balise meta. Il est inclus dans toutes les offres, Free compris : en Free, vous le lancez vous-même ou chaque semaine ; à partir de Pro, il tourne chaque jour.
Mettez ce moniteur en pilote automatique.
Gratuit pour toujours sur un site — 100 exécutions par mois, lancées par vous ou chaque semaine, sans carte. Pro relance vos moniteurs tout seul après chaque mise à jour.