L'interface en un coup d'œil
Huit vues en onglets, une barre d'analyse rapide toujours accessible. Cliquez sur une capture pour l'agrandir.
1Ce que vous voyez
Dix indicateurs chiffrés en haut, trois graphiques (répartition des niveaux de menace, activité sur 14 jours, types de cibles), puis un tableau des dernières analyses avec leur verdict.
2Ce que fait cette vue
Elle agrège l'état de toute la base locale : analyses conservées, IOC critiques, enquêtes ouvertes, alertes de surveillance en attente et disponibilité des sources OSINT.
3Comment l'interpréter
« Sources actives 2/11 » signale que seules les sources sans clé répondent. « Recoupements 0 » indique qu'aucune infrastructure commune n'a encore été détectée entre les dossiers.
4Pourquoi c'est important
C'est le point d'entrée de la journée : ce qui a changé pendant la nuit, ce qui exige une décision, et l'état de l'outillage — avant même d'ouvrir un dossier.
Chaque action porte un nom
L'authentification n'est pas décorative : elle conditionne la piste d'audit. Chaque analyse, chaque scan, chaque export est journalisé avec l'identité de son auteur et son horodatage.
Quatre rôles encadrent les droits :
| Administrateur | Tout, y compris comptes et configuration |
| Enquêteur | Dossiers, analyses, scans autorisés, rapports |
| Analyste | Analyses et rapports — pas de scan actif |
| Lecteur | Consultation seule |
La session se verrouille
automatiquement après inactivité et restaure le contexte de travail au
déverrouillage (Ctrl+L).
Analyse d'une adresse IP
Comment l'utiliser : onglet Analyse IP
(Ctrl+1), saisissez l'adresse, cliquez sur
Analyser. Les résultats se répartissent en onglets thématiques.
1Ce que vous voyez
Un bandeau « Verdict » : la cible, le niveau (FAIBLE), la classification (Réseau d'entreprise), le score 3/100 sur une jauge, et une phrase de synthèse. Dessous, la fiche d'identité réseau.
2Ce que fait la fonction
Elle interroge les registres RDAP, le DNS inverse, la base GeoIP locale et les sources de réputation configurées, puis consolide le tout en une fiche unique.
3Comment l'interpréter
« 1 source · fiabilité 41 % » est aussi important que le score : ici une seule source a répondu. Un score faible avec une fiabilité faible signifie « rien trouvé », pas « inoffensif ».
4Pourquoi c'est important
L'ASN et le bloc CIDR identifient l'opérateur réellement responsable — celui à qui adresser une réquisition. C'est souvent l'information la plus actionnable de la fiche.
1Ce que vous voyez
Quatre cartouches — type détecté, fournisseur, confiance (65 %), anonymisation (NON) — puis la liste numérotée des indicateurs qui ont conduit à ce verdict.
2Ce que fait la fonction
Elle classe l'adresse parmi 16 catégories d'infrastructure : hébergeur, VPN commercial, proxy, nœud TOR, bulletproof, réseau d'entreprise, mobile, universitaire…
3Comment l'interpréter
La confiance compte plus que l'étiquette. À 65 %, le faisceau est net. Sous 40 %, considérez la classification comme une hypothèse à vérifier, jamais comme un fait.
4Pourquoi c'est important
Derrière un VPN, l'adresse ne désigne plus l'auteur mais un service partagé par des milliers d'usagers. Le savoir change la suite : il faudra une réquisition, pas une déduction.
1Ce que vous voyez
Le tableau des sources interrogées avec, pour chacune, son état et son score. Puis les types d'attaques signalés et une synthèse agrégée.
2Ce que fait la fonction
Elle interroge en parallèle VirusTotal, AbuseIPDB, GreyNoise, OTX, Shodan, Censys et les trois services abuse.ch, puis agrège sans masquer les désaccords.
3Comment l'interpréter
Cette capture montre le comportement sans clé configurée : une source répond, la fiabilité tombe à 41 %. Avec les clés, huit sources alimentent la même vue.
4Pourquoi c'est important
Une source unique ne fonde pas une conclusion. L'outil affiche qui a répondu quoi, afin que l'analyste juge la convergence — et non un chiffre agrégé sorti d'une boîte noire.
Emplacement réservé — Réputation avec clés d'API configurées
Les captures de ce support ont été réalisées sans aucune clé d'API. Cette vue montrera le même onglet alimenté par les huit sources de réputation (VirusTotal, AbuseIPDB, GreyNoise, OTX, Shodan, Censys, abuse.ch), avec les scores divergents et les types d'attaques signalés.
Pour l'ajouter : renseigner les clés dans Configuration → Clés d'API, analyser une IP réellement signalée, puis enregistrer la capture sous le nom ci-dessous.
1Ce que vous voyez
Une phrase de conclusion, un tableau « indices retenus » (catégorie, poids, élément, source), les pistes d'investigation suggérées et le détail du calcul de risque.
2Ce que fait la fonction
Elle confronte les données à 14 profils de menace — C2, hameçonnage, fast-flux, bulletproof, botnet, DGA, typosquatting, sinkhole… — et associe les techniques MITRE ATT&CK correspondantes.
3Comment l'interpréter
Le tableau des indices est la justification du score. Chaque ligne est un fait avec son poids : c'est ce qui se recopie dans un rapport et se défend devant un tiers.
4Pourquoi c'est important
Un score sans justification n'est pas opposable. Ici l'absence d'indice est affichée aussi clairement qu'une accusation : le résultat négatif est une information.
Analyse d'un nom de domaine
Comment l'utiliser : onglet Analyse de domaine
(Ctrl+2). Trois cases gouvernent la profondeur : cache,
énumération des sous-domaines, résolution active.
1Ce que vous voyez
Âge du domaine (11 391 jours), registrar, adresses A, nombre de sous-domaines, sécurité de la messagerie (2/3) et validité du certificat — puis constatations et recommandations.
2Ce que fait la fonction
Elle croise WHOIS/RDAP, l'ensemble des enregistrements DNS, le certificat TLS et la Certificate Transparency en une seule passe.
3Comment l'interpréter
L'âge est le signal le plus discriminant : 11 391 jours désignent une institution établie. Un domaine de 3 jours qui imite une banque est un signal d'alarme majeur.
4Pourquoi c'est important
Les recommandations affichées sont méthodologiques : ici, conserver une copie horodatée des enregistrements, car ces données sont volatiles et constituent un élément de preuve.
1Ce que vous voyez
À gauche tous les enregistrements (A, AAAA, MX, TXT, NS, SOA, CAA). À droite l'évaluation de SPF, DNSSEC, DMARC et DKIM avec un niveau de risque par mécanisme, et les enregistrements bruts en dessous.
2Ce que fait la fonction
Elle collecte la zone DNS puis évalue la posture anti-usurpation : un domaine sans SPF ni DMARC peut être usurpé par n'importe qui dans un courriel.
3Comment l'interpréter
Ici « DMARC en mode surveillance uniquement (p=none) » : la politique existe mais ne bloque rien. C'est un constat courant, à signaler sans le confondre avec une absence totale.
4Pourquoi c'est important
Pour un SOC, c'est la réponse à « ce courriel a-t-il pu être légitimement usurpé ? ». Pour un enquêteur, un TTL anormalement bas trahit une infrastructure conçue pour bouger vite.
1Ce que vous voyez
Le nom commun (*.iana.org), l'organisation du sujet, l'autorité émettrice, les dates de validité, la durée (395 jours), les jours restants (146) et les indicateurs d'expiration/auto-signature.
2Ce que fait la fonction
Elle récupère le certificat, en extrait les noms alternatifs (SAN) et les empreintes — matière première des pivots présentés plus loin.
3Comment l'interpréter
Un certificat émis quelques heures avant les faits, auto-signé, ou couvrant des dizaines de domaines sans rapport, est un signal fort. Ici : autorité commerciale, durée standard, cohérent.
4Pourquoi c'est important
Le certificat est le pivot le plus fiable de toute l'enquête : journalisé publiquement, horodaté par un tiers, et difficile à falsifier après coup.
1Ce que vous voyez
La liste des sous-domaines, leurs adresses IP résolues, leur état
(Actif / Inactif) et la source de découverte — ici crt.sh
pour les 24 entrées.
2Ce que fait la fonction
Elle interroge la Certificate Transparency et les sources OSINT configurées. Aucune connexion vers la cible n'est nécessaire : la découverte est entièrement passive.
3Comment l'interpréter
Les inactifs sont précieux : ils révèlent des noms
préparés puis abandonnés — ou pas encore activés. Un
paiement-securise.domaine inactif annonce la phase
suivante d'une campagne.
4Pourquoi c'est important
La surface réelle d'une infrastructure dépasse presque toujours le domaine signalé. Bloquer le seul domaine connu laisse la campagne opérationnelle.
1Ce que vous voyez
Les champs normalisés (registrar, dates, titulaire, serveurs de noms, statuts) et, en dessous, la réponse brute du registre telle qu'elle a été reçue.
2Ce que fait la fonction
Elle interroge RDAP (protocole officiel structuré) avec repli sur le WHOIS historique, et conserve les deux formes.
3Comment l'interpréter
Le titulaire est le plus souvent masqué par un service de confidentialité : c'est normal et ce n'est pas un indice de culpabilité. La date de création, elle, est rarement falsifiable.
4Pourquoi c'est important
La réponse brute est conservée car elle seule fait foi : si le registre modifie ses données demain, votre copie horodatée documente l'état au moment des faits.
1Ce que vous voyez
Les composants identifiés (ici jQuery et Cloudflare) puis le détail des en-têtes HTTP renvoyés par le serveur.
2Ce que fait la fonction
Elle déduit la pile technique des en-têtes et du contenu, sans exploitation ni test d'intrusion.
3Comment l'interpréter
La présence d'un service de protection comme Cloudflare signifie que l'IP visible n'est pas celle du serveur d'origine : la piste réseau s'arrête là.
4Pourquoi c'est important
Deux sites frauduleux partageant une pile identique et rare sont probablement issus du même kit — donc du même acteur.
1Ce que vous voyez
Tous les indicateurs extraits de l'analyse — adresses IP, domaines de messagerie, serveurs de noms, empreinte du certificat — avec la colonne Origine qui indique d'où vient chacun.
2Ce que fait la fonction
Deux boutons commandent la suite : Analyser la sélection lance une analyse complète des éléments cochés, Ajouter à l'enquête les verse au dossier actif.
3Comment l'interpréter
La colonne Origine est la traçabilité de chaque indicateur :
un domaine issu d'un DNS MX n'a pas la même valeur
probante qu'un domaine issu du certificat TLS.
4Pourquoi c'est important
C'est le point de rebond de l'enquête : chaque ligne est une piste exploitable en un clic, sans copier-coller ni risque d'erreur de transcription.
Les empreintes : suivre l'acteur, pas l'adresse
Un criminel change d'IP en une heure et de domaine en une journée. Il change beaucoup plus rarement de certificat, de serveurs de noms ou de configuration TLS. C'est là que se trouve la continuité.
1Ce que vous voyez
Un tableau des empreintes (type, valeur, fiabilité, source, ce qu'elles permettent de retrouver) et, en dessous, les requêtes prêtes à copier pour Shodan, Censys et crt.sh.
2Ce que fait la fonction
Elle extrait les éléments réutilisables comme pivots : empreinte du certificat, numéro de série, noms couverts, serveurs de noms, serveurs de messagerie, courriel du titulaire, JARM, hash de favicon.
3Comment l'interpréter
La colonne fiabilité hiérarchise : « Très fiable » pour un serveur de noms dédié, plus faible pour un hébergeur mutualisé partagé par des millions de sites — où le pivot ne prouve rien.
4Pourquoi c'est important
C'est le passage d'un indicateur à une infrastructure. Le bouton « Rechercher les domaines liés » interroge crt.sh sans aucune clé d'API.
Certificat
Pivot le plus fiable. Journalisé publiquement dans la Certificate Transparency, horodaté par un tiers indépendant, difficile à falsifier a posteriori.
JARM & favicon
La signature de la pile TLS et l'empreinte de l'icône du site. Deux serveurs partageant la même paire utilisent très probablement le même kit de déploiement.
Serveurs de noms
Fiables si dédiés. Un pivot sur les serveurs d'un grand hébergeur retourne des millions de domaines sans lien : l'outil signale cette limite.
Le graphe d'investigation
Comment l'utiliser : onglet Graphe, choisissez la source (dernière analyse, enquête active, ou toutes les relations), puis Construire le graphe.
1Ce que vous voyez
Le graphe des entités, un panneau de statistiques (nœuds, relations, composantes, densité), la table des nœuds pivots avec leur interprétation, et une légende par type et par niveau de risque.
2Ce que fait la fonction
Elle relie domaines, sous-domaines, IP, ASN, blocs réseau, certificats, serveurs DNS et mail, empreintes et enquêtes en un réseau navigable, exportable en PNG, PDF, HTML, GraphML (Gephi) et JSON.
3Comment l'interpréter
Les nœuds pivots sont classés par valeur d'enquête, non par nombre de liens : un certificat partagé par 3 domaines est plus parlant qu'un ASN partagé par 300.
4Pourquoi c'est important
Un tableau de 52 lignes ne se raconte pas ; un graphe se montre. C'est la pièce qui explique l'infrastructure à un magistrat ou à un comité de direction en trente secondes.
Note de démonstration. Le rendu interactif intégré (zoom, déplacement) nécessite le composant QtWebEngine. Sur le poste utilisé pour ces captures il n'était pas installé : l'application affiche alors l'aperçu statique et propose l'ouverture dans le navigateur — le repli documenté, pas une erreur.
Le dossier d'enquête
Comment l'utiliser : Ctrl+N pour ouvrir une
enquête. Elle devient l'enquête active : toutes les analyses suivantes s'y
rattachent automatiquement.
1Ce que vous voyez
La liste des enquêtes à gauche ; à droite la référence auto-générée, le statut, la priorité, la classification TLP, les mots-clés, l'exposé des faits et cinq compteurs.
2Ce que fait la fonction
Elle agrège tout ce qui se rapporte au dossier : indicateurs, analyses, notes, pièces avec empreinte SHA-256, chronologie et recoupements avec les autres dossiers.
3Comment l'interpréter
La mention (ACTIVE) dans le titre est essentielle : elle indique où seront versées vos prochaines analyses. La classification TLP gouverne la diffusion du rapport.
4Pourquoi c'est important
Sans dossier, une analyse est un fichier perdu. Avec dossier, elle devient une pièce rattachée à une procédure, horodatée et attribuée à son auteur.
1Ce que vous voyez
La suite ordonnée des actes : ouverture du dossier, analyse de 8.8.8.8, analyse de iana.org — chacun horodaté, typé, attribué à son auteur, avec son niveau de gravité.
2Ce que fait la fonction
Elle journalise automatiquement les événements du dossier. L'enquêteur n'a rien à saisir : la traçabilité est un effet de bord de son travail.
3Comment l'interpréter
Cette chronologie répond à la question « qui savait quoi, et quand ? » — celle que pose systématiquement la défense ou l'audit interne.
4Pourquoi c'est important
Elle établit que l'analyse a précédé la décision, et non l'inverse. C'est ce qui distingue un dossier défendable d'une conviction reconstituée après coup.
1Ce que vous voyez
Chaque indicateur avec son type, sa valeur, son niveau de menace, son score, sa confiance, sa source, son enquête de rattachement et sa date d'observation.
2Ce que fait la fonction
Elle centralise les IOC de toutes les enquêtes et permet de les exporter en JSON, CSV, MISP, STIX 2.1, règles Suricata ou liste de blocage.
3Comment l'interpréter
La colonne Enquête est le signal de recoupement : un même indicateur présent dans deux dossiers distincts est une piste en soi.
4Pourquoi c'est important
C'est le pont vers l'opérationnel : la liste de blocage part au pare-feu, l'export MISP part à la communauté, sans ressaisie. Un double-clic relance l'analyse.
1Ce que vous voyez
Un texte libre collé en haut ; en bas les indicateurs extraits et typés : 1 IP, 1 domaine, 2 URL, 2 courriels, 1 SHA-256, 1 ASN.
2Ce que fait la fonction
Elle reconnaît les formes neutralisées utilisées
par les CERT — hxxp://, 1[.]2[.]3[.]4,
exemple(.)com — et les remet en forme avant extraction.
3Comment l'interpréter
Les plages de documentation (RFC 5737) et les adresses privées sont volontairement écartées : elles pollueraient la base d'indicateurs sans jamais désigner une cible réelle.
4Pourquoi c'est important
C'est le gain de temps le plus immédiat de l'outil : un signalement de trois pages devient une liste d'IOC qualifiés en une opération, sans erreur de recopie.
1Ce que vous voyez
Un champ de recherche, le décompte des résultats et trois onglets : Enquêtes, Analyses archivées, Indicateurs. Le premier onglet non vide est sélectionné automatiquement.
2Ce que fait la fonction
Elle cherche dans les références, cibles, verdicts et jusque dans le contenu des analyses. Un double-clic ouvre le résultat au bon endroit.
3Comment l'interpréter
Ouvrir une analyse archivée l'affiche telle qu'elle était : l'outil ne la relance pas. Relancer produirait un résultat différent et consommerait des quotas.
4Pourquoi c'est important
« Est-ce qu'on a déjà vu cette IP ? » se répond en trois secondes — y compris sur un dossier traité par un collègue il y a six mois.
1Ce que vous voyez
Le dossier CASE-2026-0002 partage une infrastructure avec CASE-2026-0001 : 2 indicateurs communs, 0 lien indirect, confiance 68 %. Le détail liste les éléments partagés.
2Ce que fait la fonction
Elle compare le dossier à tous les autres sur deux niveaux : les indicateurs strictement identiques, et l'infrastructure partagée — même certificat, même titulaire, même serveur de noms.
3Comment l'interpréter
Le second niveau est le plus précieux : il rapproche des dossiers qu'aucune recherche par valeur exacte ne relierait. La confiance guide la suite ; au-delà de 70 %, le rapprochement mérite un échange formel.
4Pourquoi c'est important
C'est la réponse au cloisonnement. Deux enquêteurs travaillant sur la même campagne sans le savoir sont mis en relation — un recoupement fort peut justifier une jonction de procédures.
1Ce que vous voyez
Une phrase de suivi (« cible suivie depuis… »), le tableau des changements détectés avec leur gravité, puis la chronologie de chaque attribut : valeur, état, période de validité, nombre d'observations.
2Ce que fait la fonction
À chaque analyse, l'outil compare l'état observé au précédent et date chaque valeur. Il alimente aussi la dimension « comportement » du score de risque — un signal qu'aucun instantané ne peut fournir.
3Comment l'interpréter
Les colonnes Depuis et Jusqu'au répondent à la question décisive : « quel était l'état de cette infrastructure au moment des faits ? » — et non son état d'aujourd'hui.
4Pourquoi c'est important
Ces données sont volatiles : ce qui n'est pas capturé est perdu définitivement. Un titulaire qui change trois jours après les faits est un élément que seule l'historisation permet d'établir.
La surveillance continue
Elle fait passer l'outil du réactif au proactif : plutôt que de relancer une analyse à la main, on déclare une cible sous surveillance et on est alerté quand quelque chose bouge.
1Ce que vous voyez
À gauche : les cibles suivies, leurs contrôles, la périodicité, l'état, le prochain contrôle et le nombre d'alertes. À droite : la sélection des points de contrôle à l'ouverture d'une surveillance.
2Ce que fait la fonction
Dix points de contrôle périodiques : résolution A/AAAA, serveurs de noms, serveurs de messagerie, titulaire, certificat, contenu, ports, réputation, disponibilité, DNS inverse.
3Comment l'interpréter
Chaque contrôle est libellé par l'événement qu'il révèle : « changement de serveurs DNS : reprise de contrôle du domaine, saisie judiciaire ou transfert ». L'alerte arrive déjà interprétée.
4Pourquoi c'est important
Un changement classé critique déclenche une ré-analyse complète automatique. Le dossier se met à jour tout seul, même si personne ne l'a rouvert depuis des semaines.
Passif par défaut. Les contrôles regroupés sous « contrôles passifs » n'établissent aucune connexion vers la cible : ils interrogent le DNS, les registres et les sources tierces. Les contrôles actifs (certificat, contenu, ports) sont dans une section distincte et exigent une autorisation explicite — la démonstration l'a vérifié : la demande a été refusée tant que l'autorisation n'était pas donnée.
Le rapport : la sortie qui compte
Comment l'utiliser : depuis une analyse ou une enquête, bouton Rapport PDF ou Rapport HTML. Le document est généré localement, prêt à être versé au dossier.
1Ce que vous voyez
Un document paginé, en-tête et pied de page sur chaque feuille, bandeau de classification TLP:AMBER, sections numérotées et tableaux normalisés.
2Ce que fait la fonction
Elle compose le rapport à partir de la base : fiche d'enquête, exposé des faits, IOC, analyses, chronologie, graphe, niveau de risque justifié et recommandations.
3Comment l'interpréter
L'avertissement de la page de garde n'est pas une formalité : il rappelle que les conclusions sont des hypothèses étayées par des sources ouvertes, à corroborer avant toute qualification juridique.
4Pourquoi c'est important
C'est le livrable que liront un magistrat, un RSSI ou un client. Il est produit en une seconde et reste identique d'un analyste à l'autre : la qualité ne dépend plus du rédacteur.
Document paginé et classifié, pour la procédure et l'archivage.
HTML
Rapport navigable et autonome, pour la diffusion interne rapide.
Formats d'échange
JSON, CSV, MISP, STIX 2.1, règles Suricata, liste de blocage.
Le cadre juridique est dans le produit
Un outil d'enquête qui ignore le droit expose son utilisateur. RNCTIQ applique une règle simple : toute fonction qui établit une connexion vers la cible est désactivée par défaut et exige une autorisation explicite, tracée.
1Ce que vous voyez
Un bandeau d'avertissement citant les textes applicables (art. 323-1 et suivants du Code pénal, Computer Misuse Act, CFAA), une case « Je certifie disposer d'une autorisation légale » et un bouton en rouge.
2Ce que fait la fonction
Le scan reste inopérant tant que la case n'est pas cochée. L'autorisation, son motif et l'identité de l'opérateur sont inscrits dans la piste d'audit.
3Comment l'interpréter
Le rouge n'est pas décoratif : il distingue les actions observables par la cible de la collecte passive, qui constitue l'essentiel de l'outil.
4Pourquoi c'est important
En cas de contestation, la piste d'audit démontre que l'acte a été autorisé, motivé et attribué. Elle protège l'enquêteur autant qu'elle l'engage.
Passif par défaut
RDAP, DNS, Certificate Transparency, sources tierces. Aucune trace laissée chez la cible, aucune alerte déclenchée côté adverse.
Actif sur autorisation
Scan de ports, JARM, favicon, TLS direct, contenu HTTP. Case à cocher, motif exigé, journalisation nominative.
Souveraineté des données
Base locale SQLite ou PostgreSQL, clés d'API dans un coffre-fort chiffré AES. Rien ne part vers un service tiers hors des requêtes OSINT que vous déclenchez.
Trois rappels affichés dans l'outil lui-même. La géolocalisation IP indique l'emplacement déclaré de l'infrastructure, jamais la position d'une personne · derrière un VPN, l'adresse désigne un service partagé, pas un auteur · un score élevé est un faisceau d'indices, pas une preuve.
Démarrer
Installation
Application de bureau Windows et Linux. Un exécutable autonome peut être compilé : aucun prérequis Python sur le poste de l'utilisateur final.
- Python 3.11+ et PySide6 pour l'exécution depuis les sources
- Exécutable autonome via
build.ps1(menu interactif) - Base SQLite locale par défaut, PostgreSQL possible
python main.py --checkdiagnostique l'environnement
Premiers pas recommandés
- Se connecter et changer immédiatement le mot de passe initial
- Créer le coffre-fort, y déposer les clés d'API disponibles
- Ouvrir une enquête d'essai et analyser un domaine connu
- Lire le Manuel de l'enquêteur intégré (77 sections)
- Placer une première cible sous surveillance passive
1Ce que vous voyez
Le manuel affiché dans l'outil, avec son sommaire à gauche, un champ de recherche, des boutons de taille de texte, et le décompte « 987 lignes · 6291 mots · 77 sections ».
2Ce que fait la fonction
Elle rend la documentation consultable sans quitter l'enquête : manuel, guide d'installation, architecture, exemple d'enquête commenté de bout en bout.
3Comment l'interpréter
Le manuel n'est pas un mode d'emploi de boutons : il ouvre sur les principes méthodologiques — ce que l'outil prouve, et surtout ce qu'il ne prouve pas.
4Pourquoi c'est important
Un nouvel arrivant devient autonome sans formation dédiée, et l'équipe partage une méthode commune, pas seulement un logiciel.
Configurer les sources
1Ce que vous voyez
Le coffre-fort de secrets (à créer au premier lancement), un champ par source OSINT avec un lien « Obtenir une clé », et le tableau État des connecteurs : clé requise, clé configurée, limite de débit.
2Ce que fait cette vue
Elle centralise le paramétrage : sources, réseau, seuils de scoring, sécurité et scan, renseignement local (bases GeoLite2), plugins et piste d'audit.
3Comment l'interpréter
Sur cette capture, crt.sh et RDAP affichent
« clé requise : Non » — ce sont les deux sources qui fonctionnent
immédiatement, sans compte.
4Pourquoi c'est important
Les clés sont stockées chiffrées en AES, jamais en clair dans un fichier de configuration. La limite de débit affichée évite de griller un quota en pleine urgence.
Trois règles que l'outil rappelle à chaque analyse : corroborer — un signal unique ne fonde pas une conclusion · horodater — les données sont volatiles, la copie datée fait foi · tracer — toute action sensible est journalisée avec votre identité.