Web-Check : l'outil OSINT tout-en-un pour analyser un site web
Avant de cliquer sur un lien suspect, ou pour prendre la mesure de ce qu'un attaquant peut apprendre de votre propre site en quelques secondes, Web-Check rassemble en une seule page plus d'une trentaine de contrôles publics — DNS, certificats, ports, technologies, réputation. Gratuit, open source, et utilisable en un clic.
Web-Check est un outil OSINT (renseignement de source ouverte) qui rassemble sur une seule page un grand nombre d'informations techniques publiques sur un site ou un domaine. Développé par Alicia Sykes et publié sous licence MIT, il agit comme un agrégateur : il ne remplace pas les outils spécialisés, mais permet une première passe de reconnaissance rapide avant d'approfondir si nécessaire.
Ce qu'il analyse
Identité du domaine et DNS — WHOIS, enregistrements A, serveurs de noms, DNSSEC, ainsi que les contrôles de messagerie SPF, DKIM et DMARC.
Chiffrement et transport — certificat TLS, qualité de la connexion négociée (avec un score comparable à celui de SSL Labs), et présence de HSTS.
Surface exposée — scan d'une trentaine de ports courants, traceroute, géolocalisation, détection de WAF et énumération de sous-domaines.
Sécurité applicative et réputation — en-têtes HTTP de sécurité, cookies, fichiers security.txt et robots.txt, présence dans des bases de menaces connues.
Contexte et métadonnées — stack technique détectée (serveur, CMS, extensions), sitemap, redirections et capture d'écran.
Comment l'utiliser
Instance publique — aucune installation ni inscription nécessaire pour un usage ponctuel sur l'instance publique du projet.
Auto-hébergement via Docker — une seule commande suffit pour lancer l'outil en conteneur, avec une configuration centralisée via un fichier d'environnement pour un déploiement plus durable.
Clés d'API optionnelles — certains modules (réputation, Shodan, classement de trafic) ne se complètent qu'avec des clés d'API tierces, sans quoi ces cartes restent vides.
API en ligne de commande — chaque contrôle dispose de son propre point d'entrée HTTP, exploitable depuis un script ou un outil de supervision.
Dans quels cas s'en servir
Vérifier un lien suspect — reçu par e-mail, avant de cliquer sur un domaine inconnu.
Auditer sa propre surface d'exposition — sans devoir enchaîner une dizaine d'outils différents.
Donner une vue rapide à un client ou un décideur — sur ce qu'un attaquant peut apprendre de son infrastructure en quelques clics.
Automatiser une veille périodique — sur ses propres domaines, en s'appuyant sur l'API plutôt que sur l'interface.
Ses limites
Ce n'est pas un scanner de vulnérabilités : Web-Check ne teste aucune injection ni aucune CVE, et ne remplace ni un audit de sécurité ni un test d'intrusion. La détection reste largement déclarative — elle repose sur ce que le serveur annonce lui-même, et un CDN comme Cloudflare peut masquer une grande partie de la configuration réelle derrière lui. Le module de scan de ports est, lui, un module actif : il ne doit être utilisé que sur ses propres domaines, ou sur des cibles pour lesquelles une autorisation explicite existe.
Un outil de reconnaissance rapide et gratuit est un bon point de départ, mais une surface d'exposition correctement interprétée demande un regard professionnel. Vous voulez un audit complet de ce que votre présence en ligne révèle réellement ? Parlons-en, ou découvrez notre offre de site vitrine optimum.
Une question ?
Envie d'un avis technique sincère sur votre sécurité ?
Nos experts analysent vos pratiques réelles — pas seulement vos documents — et vous disent honnêtement où vous en êtes.
[email protected]Net System srl · Rue de Botrange 61, 4950 Waimes +32 80 87 00 17
