--- title: "Audit de sécurité qui teste à nouveau | BionicAdri" description: "Chaque constat va du soupçon à la vérification, est corrigé et clos par un nouveau test. Une matrice par rôles montre la vue de chaque profil du site." url: https://bionicadri.com/fr/blog/auditoria-seguridad-retest-roles.html markdown: https://bionicadri.com/fr/md/blog-auditoria-seguridad-retest-roles.md language: fr updated: 2026-10-29 index: https://bionicadri.com/fr/llms.txt publisher: "BIONICADRI SOLUTIONS S.L. · info@bionicadri.com · +34 604 87 17 35" translations: es: https://bionicadri.com/md/blog-auditoria-seguridad-retest-roles.md en: https://bionicadri.com/en/md/blog-auditoria-seguridad-retest-roles.md ro: https://bionicadri.com/ro/md/blog-auditoria-seguridad-retest-roles.md fr: https://bionicadri.com/fr/md/blog-auditoria-seguridad-retest-roles.md de: https://bionicadri.com/de/md/blog-auditoria-seguridad-retest-roles.md it: https://bionicadri.com/it/md/blog-auditoria-seguridad-retest-roles.md pt: https://bionicadri.com/pt/md/blog-auditoria-seguridad-retest-roles.md --- # Un audit de sécurité qui vérifie à nouveau ce qui a été corrigé et qui voit quoi Un rapport de sécurité qui dit « il y a 23 problèmes » et reste au fond d’un tiroir ne protège rien. Ce qui protège, c’est de savoir lesquels ont réellement été corrigés, lesquels subsistent et lesquels sont revenus. ADRI tient le compte de chaque constat et le vérifie à nouveau. Par [Liviu Diaconu](https://bionicadri.com/fr/nosotros.html#fundador) 29 oct. 2026 7 min de lecture Avant tout : ADRI n’audite que **ce qui vous appartient ou ce pour quoi vous êtes autorisé**. Avant de lancer un audit actif contre un site web, il vous demande un oui explicite dans le chat, avec une déclaration : que vous êtes titulaire de cette cible ou que vous disposez d’une autorisation écrite de son titulaire. La demande et votre réponse sont enregistrées. Par défaut, la direction, l’administration et le super-administrateur peuvent demander des audits, et chaque demande, y compris les refusées, reste dans l’écran d’audit des scans. ## Qu’est-ce qu’un retest de vulnérabilités ? C’est tester de nouveau une faille après que quelqu’un a déclaré l’avoir corrigée. Cela paraît évident, mais c’est là que les choses se compliquent le plus : le correctif a été appliqué sur un serveur et pas sur un autre, une route a été corrigée et celle d’à côté reste identique, ou une mise à jour ultérieure l’a rouverte. Avec ADRI, le « retest » est aussi simple que de demander un autre audit de la même cible. La différence, c’est qu’il se souvient désormais de ce qui a été décidé pour chaque constat. ## Chaque constat a sa fiche et son état Chaque constat reçoit un identifiant stable, du type `H-1a2b3c4d`, qui est conservé d’un audit à l’autre. Et il passe par ces états : - **Suspicion.** Le scan l’a trouvé et il n’est pas encore confirmé. - **Vérifié.** Il existe une preuve qu’il est réel : ADRI la consigne avec sa note, ou le scan lui-même l’a démontré. - **Corrigé.** C’est une personne qui le déclare, en indiquant l’identifiant du constat dans son message. ADRI ne peut pas le considérer comme corrigé de sa propre initiative. - **Clos.** Lors de l’audit suivant, il n’apparaît plus et le test qui le détectait s’est bien exécuté. - **Réouvert.** Vous l’aviez considéré comme corrigé et il continue d’apparaître. Il y a aussi deux décisions que seule une personne prend : **faux positif** (ce n’est pas un problème réel) et **accepté** (c’est réel, mais vous assumez le risque). Les deux restent consignées avec leur note. ## Quand une vulnérabilité peut-elle être considérée comme close ? Uniquement lorsque le nouveau test le démontre. Les règles sont strictes à dessein : - Si le test censé le détecter **n’a pas pu s’exécuter ou a échoué**, le retest est marqué comme non concluant, et il vous le dit. Rien n’est clôturé parce qu’on ne l’a pas regardé. - Si un constat ouvert n'apparaît tout simplement pas, il ne se ferme pas tout seul : il se peut que cette fois-là, cette partie n'ait pas été vérifiée. - Si un élément clos réapparaît, il est marqué comme **régression**, ce qui est précisément ce que l'on a le plus intérêt à voir. Le résumé de ces changements figure en haut du rapport : ce qui a été clos, ce qui a été rouvert et ce qui est revenu. ## Qu'est-ce qu'une matrice d'accès par rôles ? De nombreuses failles graves ne se voient pas de l'extérieur. Un scan anonyme ne détecte pas qu'un employé peut ouvrir la fiche d'un autre, ou qu'un client du portail voit des factures qui ne sont pas les siennes. C'est pour cela qu'existe la **matrice d'accès par rôles**. Cela fonctionne ainsi : vous déclarez dans un fichier les rôles de votre application, avec des comptes de test de votre environnement de test, et quels rôles devraient pouvoir voir chaque route. ADRI vous prépare le modèle de départ si vous lui donnez le code. Ensuite, ADRI interroge chaque route avec chaque rôle et compare : - 🔴 **Accès non autorisé :** un rôle qui ne devrait pas voir la route la voit. - ⚠️ **Blocage inattendu :** un rôle qui devrait la voir ne le peut pas. - ❔ **Indéterminé :** une erreur du serveur ou une réponse ambiguë à vérifier manuellement. Pour ne pas causer de dommages, ADRI ne fait que des lectures, ne suit pas les redirections, ne sort pas du domaine que vous lui avez indiqué et a un plafond de routes et de rôles, avec des pauses entre les requêtes. Le rapport ne contient ni le contenu des pages ni les cookies de test : seulement l'état, la taille et une empreinte pour comparer. Les comptes de test, c'est vous qui les fournissez ; ADRI ne les invente pas et ne vous les demande pas par le chat. ## Si vous avez le code, l'audit pointe vers la ligne Si vous lui donnez le chemin du code de votre application, ADRI fait d'abord une cartographie statique : quelles routes existent, lesquelles exigent une connexion et lesquelles atteignent des opérations sensibles. En croisant cela avec le scan, un constat confirmé par le code ressort avec sa cause : le fichier et la ligne. Ce que le code signale mais que le scan n'a pas touché reste une piste, jamais un constat. ## Il diagnostique, il ne répare pas L'audit signale et hiérarchise ; il n'applique pas de correctifs de son propre chef. S'il faut corriger quelque chose dans le code, ADRI le prépare et l'opération se fait avec votre validation. Ensuite, un autre audit ferme la boucle. Plus d'informations dans [sécurité et conformité](https://bionicadri.com/fr/seguridad.html) et dans [pentesting automatisé avec agents IA](https://bionicadri.com/fr/blog/seguridad-empresas-agentes-ia.html). Si vous souhaitez savoir comment ADRI demande la permission avant d'agir, nous l'expliquons dans [quand ADRI vous demande la permission](https://bionicadri.com/fr/blog/cuando-adri-pide-permiso.html), ou [demandez une démo](https://bionicadri.com/fr/contacto.html#formulario). ## Questions fréquentes **Puis-je auditer le site web d'une autre entreprise ?** Uniquement si vous êtes son titulaire ou si vous disposez d'une autorisation écrite. Avant un audit actif, ADRI vous demande un oui avec cette déclaration, et cela est enregistré. **Qui décide qu'un constat est corrigé ?** Une personne, en saisissant l'identifiant du constat. Ensuite, l'audit suivant le ferme uniquement si le test a été exécuté et ne le trouve plus. **La matrice par rôles peut-elle modifier les données de mon application ?** Non. ADRI ne fait que des lectures, sans suivre les redirections et sans sortir du domaine que vous lui avez indiqué, avec un plafond de routes et des pauses entre les requêtes. - Sécurité - Audit - Rôles - ADRI ## Articles liés ### [Sécurité d'entreprise avec agents IA : pentesting automatisé](https://bionicadri.com/fr/blog/seguridad-empresas-agentes-ia.html) ### [La Sentinelle d'ADRI : ce qu'elle surveille sur vos serveurs, comment elle décide et ce qu'elle laisse à une personne](https://bionicadri.com/fr/blog/centinela-seguridad-adri.html) ### [Quand ADRI vous demande la permission et quand ce n'est pas le cas : une pause qui protège sans gêner](https://bionicadri.com/fr/blog/cuando-adri-pide-permiso.html) ## Voyez-le avec les données de votre entreprise Nous vous montrons ADRI à l'œuvre sur une de vos tâches réelles, en 15 minutes environ. [Demander une démo](https://bionicadri.com/fr/contacto.html#formulario) [info@bionicadri.com](mailto:info@bionicadri.com) · [+34 604 87 17 35](tel:+34604871735)