Scan d'exposition du site — trouvez les portes laissées ouvertes avant un attaquant.

Non. C'est une reconnaissance strictement non intrusive : des requêtes GET en lecture seule vers des URL publiques du site dont vous avez prouvé la propriété. Elle n'envoie jamais de charges d'exploitation, ne force pas les connexions, ne fuzz pas les entrées et ne change rien — elle ne peut donc pas endommager une boutique en production. Elle s'identifie aussi comme Relvato dans la requête, au lieu d'agir comme un attaquant furtif.

Le scan de vulnérabilités vérifie vos extensions et thèmes installés face aux CVE connues : il s'agit de code vulnérable. Le scan d'exposition vérifie la configuration et ce qui est accessible depuis l'extérieur — fichiers exposés, endpoints ouverts, en-têtes faibles —, ce qu'aucun scanner de code ne voit. Ils sont complémentaires : l'un trouve des logiciels vulnérables, l'autre des portes ouvertes.

Oui. Les tests génériques — clés publiées dans vos pages et scripts, source maps, règles de cookies et CORS, fichiers exposés, listage de répertoires, en-têtes de sécurité manquants — s’appliquent à tout site ; les sondes propres à WordPress (XML-RPC, énumération des comptes via REST, version du readme) ne correspondent tout simplement pas ailleurs. Aucune extension n’est requise. Sur WordPress, l’installer ajoute la part que seul le serveur voit : ce qui se trouve réellement à la racine de votre site et les réglages qui amplifient tout autre problème.

C'est volontairement doux : une petite liste choisie de requêtes à faible débit, chacune avec un court délai d'attente, depuis un user-agent identifié. Il ne s'exécute que sur un domaine que vous avez vérifié, et vous y consentez en activant le moniteur. C'est le même premier passage non intrusif qu'un professionnel de la sécurité effectuerait sur un site qu'il est autorisé à tester.

Un secret ou une sauvegarde exposé fait échouer le moniteur et vous alerte aussitôt — ce sont des problèmes à fermer maintenant. Les lacunes de durcissement (en-têtes manquants, XML-RPC activé, énumération) sont signalées comme des avertissements à examiner. Ce qui est attendu sur votre site peut être marqué comme examiné pour ne plus vous déranger.

Normalement non. L’essentiel de l’analyse est du trafic ordinaire : les pages et les scripts qu’un navigateur charge de toute façon. La partie qui demande des fichiers comme /.env est précisément ce qu’un pare-feu serveur est fait pour bloquer ; Relvato ne fait donc ces requêtes que lorsqu’elles en valent la peine : avec l’extension installée, il demande à votre site quels fichiers existent réellement et ne requiert que ceux-là. Et si votre pare-feu les refuse, le résultat indique que le test des fichiers a été refusé au lieu d’annoncer un site propre.

Non. Lorsqu’il interroge votre site de l’intérieur, la réponse est une liste de noms et de tailles, jamais le contenu. Ce point d’accès ne répond que pour des chemins situés dans la racine du site et refuse tout ce qui tente d’en sortir ; un résultat ne cite au plus que les premiers caractères d’une clé, pour que le rapport ne devienne pas lui-même la fuite.

Sur WordPress avec l'extension Relvato, huit constats courants ont un correctif en un clic que vous appliquez dans WordPress → Relvato, et chacun peut y être désactivé à nouveau — de la désactivation de XML-RPC à l'ajout d'en-têtes de sécurité sans risque. Relvato n'ajoute jamais automatiquement de Content-Security-Policy ni de HSTS : une mauvaise valeur pour l'un ou l'autre peut casser un site, c'est donc à une personne de les définir.

Oui, sous WordPress 6.9 ou plus récent avec l’extension Relvato 1.43.0 ou plus récente. Les extensions peuvent enregistrer des abilities que les assistants IA et l’API REST peuvent appeler. Le scan les liste depuis l’intérieur de votre site et interroge le propre callback de permission de chacune, en visiteur déconnecté, pour savoir si n’importe qui peut l’exécuter, sans l’exécuter. Une ability que n’importe qui peut exécuter et qui n’est pas en lecture seule est signalée comme grave ; les abilities ouvertes en lecture seule, les destructrices que les assistants IA peuvent utiliser et les nouvelles après une mise à jour sont des avertissements.