Avertissement et confidentialité

Comment fonctionne une vérification

Lorsque vous saisissez une adresse, notre serveur visite ce site et envoie, dans cet ordre :

1. Une requête pour la page que vous avez indiquée, en suivant jusqu'à cinq redirections (par exemple de example.com vers www.example.com). Si le site n'a pas de HTTPS fonctionnel, nous essayons une fois en HTTP simple.
2. Seulement si cette page ne donne pas de réponse claire, quelques requêtes supplémentaires sur le même site, en nous arrêtant dès que nous avons une réponse :
   • /robots.txt, le fichier dans lequel les sites indiquent aux visiteurs automatisés les pages à ignorer. Il révèle souvent le logiciel utilisé par un site, et nous respectons ses règles ;
   • deux adresses inventées, l'une se terminant par .php et l'autre par .html, pour voir comment le site répond aux pages qui n'existent pas ;
   • /index.php, la page d'accueil habituelle des sites PHP ;
   • /wp-login.php, la page de connexion standard de WordPress. Nous la chargeons seulement ; nous ne nous connectons jamais et n'envoyons rien ;
   • jusqu'à quatre pages vers lesquelles renvoie la page indiquée, comme une page de contact, de connexion ou de boutique. Nous ignorons les pages que robots.txt demande aux visiteurs automatisés d'éviter, les liens marqués « nofollow » et les liens qui pourraient modifier quelque chose, comme un lien de déconnexion.

Cela représente au maximum 16 requêtes par vérification, redirections comprises, toutes des requêtes GET ordinaires, effectuées en 18 secondes environ. Nous lisons au maximum les 512 premiers Ko de chaque réponse et examinons :

• les en-têtes de réponse, comme X-Powered-By et Server ;
• les cookies définis par le site : leur nom, comme PHPSESSID, et si une valeur a le format reconnaissable des cookies chiffrés de Laravel. Nous ne déchiffrons et ne conservons jamais les cookies ;
• le code HTML de la page, à la recherche de signes comme une balise « generator » WordPress ou Drupal, des chemins de fichiers typiques des logiciels PHP, des champs de formulaire de frameworks PHP, des messages d'erreur PHP et des liens vers des pages .php.

Pour indiquer l'hébergeur probable du site, nous regardons aussi à quelle entreprise appartient le réseau de son adresse IP, dans une table publique intégrée à notre propre site, et quels serveurs de noms utilise son domaine. Ce sont des requêtes DNS ordinaires : elles n'envoient rien au site. Nous ne citons que des hébergeurs connus, et l'hébergeur indiqué reste une estimation : une agence ou un développeur peut louer ce serveur pour vous.

Ce qu'une vérification ne fait jamais

• Elle ne teste, ne déclenche et n'exploite jamais la faille, et n'envoie jamais rien qui soit conçu pour casser ou surcharger un site.
• Elle ne se connecte jamais, ne remplit aucun formulaire, n'exécute pas les scripts du site et ne télécharge ni images ni fichiers.
• Elle ne devine jamais d'adresses cachées en dehors de celles listées ci-dessus, et ne cherche jamais d'autres sous-domaines de sa propre initiative. Elle suit seulement quelques liens déjà présents sur la page.
• Elle ne visite jamais d'adresses de réseau privé ou interne, d'adresses IP ni de ports non standard. Seuls les sites publics peuvent être vérifiés.

Comment nous parvenons à un résultat

• Oui : nous avons trouvé au moins un signe clair de PHP, comme un en-tête qui mentionne PHP, un cookie de session PHP ou un logiciel qui ne fonctionne qu'avec PHP.
• Probablement : nous n'avons trouvé que des indices complémentaires, comme des liens vers des pages .php.
• Aucun signe : nous n'avons rien trouvé qui indique PHP. Ce n'est pas la preuve que PHP n'est pas utilisé.
• Incertain : nous n'avons pas pu voir le vrai site, par exemple parce qu'un pare-feu, une bannière de cookies ou une erreur nous a bloqués.

Si la page renvoie vers d'autres parties du même site (comme une adresse en shop. ou blog.), nous vous les suggérons pour que vous puissiez les vérifier aussi. Ces suggestions proviennent de liens déjà présents sur la page et n'entraînent aucune requête supplémentaire. Chaque vérification suggérée ne se lance que si vous le décidez.

Aucune garantie

Une vérification ne voit que ce qu'un site montre publiquement : elle ne peut donc jamais être totalement certaine. Les sites peuvent masquer qu'ils utilisent PHP, des pare-feux peuvent nous bloquer, et d'autres systèmes (espace d'administration, boutique en ligne, serveur de messagerie ou intranet) peuvent utiliser PHP même si nous n'en trouvons aucun signe. Toute version de PHP détectée est celle que le site indique, qui peut ne pas refléter les correctifs installés par votre hébergeur.

Tout le contenu de ce site est fourni à titre d'information générale, « en l'état » et sans garantie d'aucune sorte. Il ne constitue pas un conseil professionnel en sécurité ni un conseil juridique, et il peut être obsolète, incomplet ou erroné. Faites toujours confirmer les choses par votre hébergeur, votre développeur ou votre service informatique, et suivez les recommandations officielles du CERT-FR, du NCSC britannique et du projet PHP.

Utilisation de ce site

Utilisez l'outil de vérification uniquement à des fins licites, par exemple pour vérifier des sites dont vous êtes propriétaire, que vous gérez ou dont vous êtes responsable. Ne l'utilisez pas pour cartographier ou cibler les systèmes d'autrui, et n'y accédez pas au moyen de scripts, de robots ou d'autres moyens automatisés. Nous pouvons bloquer ou limiter l'accès pour éviter les abus ; le nombre de vérifications est limité par visiteur et par site, et le trafic excessif est bloqué automatiquement.

Responsabilité

Vous êtes responsable de la sécurité de vos propres systèmes et de l'usage que vous faites des informations de ce site. Dans toute la mesure permise par la loi, nous ne sommes pas responsables des dommages ou pertes résultant de l'utilisation de ce site, de ses résultats ou de ses conseils, ou du fait de s'y fier, ni de toute action entreprise ou non à cause d'eux. Cela ne limite pas une responsabilité qui ne peut être limitée par la loi, comme la responsabilité en cas de faute intentionnelle ou de faute lourde.

Aucune affiliation

Nous ne sommes ni affiliés au projet PHP, à The PHP Group, à la PHP Foundation, au CERT-FR (ANSSI), au National Cyber Security Centre britannique (NCSC), au NCSC-NL ou à un éditeur de logiciels ou hébergeur, ni approuvés par eux, et n'agissons pas en leur nom. « PHP » et les autres noms de produits sont des marques de leurs propriétaires et ne sont utilisés que pour les désigner. Citer un hébergeur ou une plateforme, ou renvoyer vers ses pages d'aide, ne vaut pas recommandation. Les liens vers d'autres sites sont fournis pour votre commodité ; nous ne sommes pas responsables de leur contenu.

Confidentialité

Nous collectons le moins de données possible. Nous ne créons pas de comptes, n'utilisons pas de cookies de suivi et ne vendons ni ne partageons de données à des fins publicitaires. Voici ce qui se passe lorsque vous utilisez le site :

L'adresse que vous vérifiez

Elle sert à effectuer la vérification, puis elle est supprimée. Nous ne l'enregistrons pas et ne la conservons pas, pas plus que le résultat. Pour limiter le nombre de vérifications d'un même site, nous conservons pendant deux heures au maximum une empreinte à sens unique de son nom de domaine (un code brouillé qui ne permet pas de retrouver le nom). Les liens de partage placent l'adresse après le signe « # » (par exemple doiusephp.com/#example.com), une partie que les navigateurs n'envoient jamais aux serveurs : elle n'apparaît donc pas non plus dans les journaux de notre hébergeur. Elle reste en revanche dans l'historique de votre navigateur.

Votre adresse IP

Elle sert à prévenir les abus. Pour limiter le nombre de requêtes, nous n'en conservons qu'une empreinte à sens unique, supprimée automatiquement sous deux jours. Nous ne conservons jamais votre adresse IP sous une forme lisible.

Prestataires

• Vercel héberge ce site et gère son pare-feu. Comme tout hébergeur web, il traite des données techniques comme les adresses IP et les adresses des pages demandées, et peut les conserver brièvement dans des journaux à des fins de sécurité et d'exploitation. Politique de confidentialité de Vercel.
• Vercel Web Analytics compte les pages vues et le nombre de vérifications aboutissant à chaque résultat. Il n'utilise pas de cookies et ne vous identifie pas, et nous retirons l'adresse vérifiée de chaque page vue avant son envoi. Confidentialité d'Analytics.
• Cloudflare Turnstile vérifie que c'est une personne, et non un robot, qui lance chaque vérification. Cloudflare traite pour cela des informations techniques sur votre navigateur et votre connexion, et ne les utilise pas à des fins publicitaires. Confidentialité de Turnstile.
• Upstash stocke les compteurs de limitation brouillés et de courte durée décrits ci-dessus. Politique de confidentialité d'Upstash.

Certains de ces prestataires peuvent traiter des données en dehors de l'Espace économique européen. Ils le font avec des garanties reconnues par le droit de l'UE, comme le cadre de protection des données UE-États-Unis (Data Privacy Framework) ou les clauses contractuelles types de la Commission européenne.

Base juridique et vos droits

Nous traitons ces données sur la base de notre intérêt légitime à fournir un service gratuit et sûr et à en prévenir les abus (article 6, paragraphe 1, point f, du RGPD). Vous avez le droit de demander l'accès à vos données personnelles, leur rectification ou leur effacement, et de vous opposer à leur traitement. Comme nous ne conservons presque rien qui permette de vous identifier, il y a généralement peu ou rien à communiquer ou à supprimer, mais nous répondrons toujours à votre demande ; voir l'adresse de contact ci-dessous. Vous pouvez aussi introduire une réclamation auprès de l'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens.

Pour les propriétaires de sites

Vous avez vu notre outil dans vos journaux ? Il s'identifie avec l'agent utilisateur doiusephp-checker/1.0 (+https://doiusephp.com/disclaimer) et n'a envoyé que les quelques requêtes inoffensives décrites ci-dessus, parce que quelqu'un a saisi l'adresse de votre site. Vous pouvez bloquer cet agent utilisateur si vous le souhaitez.

À propos de ce site

doiusephp.com est un projet personnel et non commercial de Hein de Wilde. Pour toute question ou demande, ou pour signaler un abus, écrivez à info@heindewilde.com. Nous ne pouvons pas donner de conseils sur des sites particuliers ; pour cela, contactez votre hébergeur ou votre développeur.

Nous pouvons mettre cette page à jour ; la date en haut de page indique la dernière version. Le droit néerlandais s'applique à ce site et au présent avertissement.