Nous avons créé un scanner de sécurité web gratuit pour OpenClaw
La plupart des propriétaires de sites web ignorent quel code s'exécute dans le navigateur de leurs utilisateurs. Les scripts tiers issus de plateformes d'analytics, de réseaux publicitaires, de widgets de chat et de processeurs de paiement s'exécutent tous avec un accès complet au DOM, mais les équipes de sécurité maintiennent rarement un inventaire de ce qui se charge réellement.
Nous avons créé le cside Site Scanner pour offrir un outil gratuit permettant de commencer à comprendre le problème. C'est un outil gratuit et open source qui audite les scripts tiers, les en-têtes de sécurité et l'exposition PCI DSS de n'importe quel site web en environ 30 secondes. Disponible sur ClawHub, il fonctionne avec n'importe quel agent IA et donne aux équipes de sécurité un point de départ clair : qu'est-ce qui tourne sur mon site en ce moment ?
Les résultats surprennent souvent.
Le problème : votre site web exécute du code que vous n'avez pas écrit
Un site e-commerce moyen charge entre 30 et 50 scripts tiers : analytics, publicités, widgets de chat, tag managers, processeurs de paiement et outils de session replay. Chacun dispose d'un accès complet à votre DOM. Ils peuvent lire les saisies de formulaires, poser des cookies, effectuer du fingerprinting d'appareils et exfiltrer des données.
La plupart des équipes de sécurité n'ont pas d'inventaire de ce qui s'exécute sur leurs pages. Elles examinent soigneusement leur propre code, mais les scripts tiers contournent entièrement ce processus. Une équipe marketing ajoute un nouveau pixel d'analytics via Google Tag Manager, et soudain un nouveau code s'exécute dans le navigateur de chaque utilisateur — du code qui n'a jamais touché le contrôle de version ni transité par le pipeline CI/CD.
Ce n'est pas un risque théorique. Les attaques Magecart ont compromis des données de paiement sur de grands sites de vente au détail en injectant du code malveillant via des scripts tiers compromis. British Airways a fait face à une lourde amende après que des attaquants ont modifié un script tiers pour dérober les coordonnées bancaires de centaines de milliers de clients.
Ce que fait le scanner
Pointez-le vers n'importe quelle URL et il audite selon six catégories.
Inventaire des scripts tiers
Le scanner identifie chaque script externe chargé sur la page, en les regroupant par domaine et en les classant par type : analytics, publicité, session replay, traitement des paiements, CDN, et plus encore. Vous obtenez une vue complète de qui dispose de code s'exécutant dans le navigateur de vos utilisateurs.
Détection du fingerprinting
Les scripts tiers effectuent du fingerprinting des utilisateurs plus souvent que les propriétaires de sites ne le réalisent. Le scanner vérifie la présence de :
- Fingerprinting canvas
- Requêtes WebGL
- Analyse AudioContext
- Énumération des polices
- Collecte des propriétés navigator
- Bibliothèques de fingerprinting connues comme FingerprintJS
Au titre du RGPD et du CCPA, le fingerprinting peut être considéré comme une collecte de données personnelles. Si un script tiers le pratique sur vos pages, vous en êtes responsable — même si vous n'en aviez pas connaissance.
Analyse des en-têtes de sécurité
Le scanner évalue les en-têtes de sécurité qui protègent contre les attaques courantes :
| En-tête | Rôle |
|---|---|
| Content-Security-Policy (CSP) | Contrôle quels scripts peuvent s'exécuter |
| HTTP Strict Transport Security (HSTS) | Impose les connexions HTTPS |
| X-Frame-Options | Prévient les attaques de clickjacking |
| Permissions-Policy | Restreint l'accès aux fonctionnalités du navigateur |
| Subresource Integrity (SRI) | Vérifie l'intégrité des scripts tiers |
Audit des cookies
Chaque cookie est analysé selon ses attributs de sécurité : origine first-party ou third-party, flag Secure, flag HttpOnly et paramètre SameSite. Des cookies mal configurés peuvent créer des vulnérabilités de détournement de session et de falsification de requête intersites.
Signalement des risques PCI DSS 4.0.1
L'exigence 6.4.3 de PCI DSS 4.0 impose aux organisations d'inventorier et de justifier tous les scripts présents sur les pages de paiement. Le scanner détecte les formulaires de paiement et identifie quels scripts tiers ont accès à leur DOM, facilitant ainsi la mise en conformité.
Traçage de la chaîne du tag manager
Le scanner effectue une comparaison avant/après : il inventorie les scripts au chargement de la page, puis vérifie à nouveau après l'exécution des tag managers. La différence révèle votre surface d'attaque non auditée — les scripts entrés via GTM ou d'autres tag managers sans revue de code.
Note de sécurité
L'ensemble des résultats est synthétisé en une note unique de A à F, pondérée sur huit facteurs. Cela fournit un chiffre unique pour communiquer le risque aux parties prenantes et suivre les améliorations dans le temps.
Pourquoi la détection du tag manager est importante
Google Tag Manager est présent sur environ 30 % du million de sites les plus visités. Il permet aux équipes marketing d'ajouter des scripts sans attendre un déploiement technique. Cette même flexibilité crée le plus grand angle mort dans de nombreux programmes de sécurité.
Les scripts chargés via GTM échappent à la revue de code. Ils n'apparaissent pas dans votre base de code. Ils ne transitent pas par votre pipeline CI/CD. Ils s'exécutent dans le navigateur de vos utilisateurs avec un accès complet au DOM, sans que personne dans l'équipe technique ne les ait approuvés.
Un conteneur GTM compromis ou un pixel marketing malveillant peut injecter du code malveillant sur l'ensemble de votre site. Le scanner rend cette surface d'attaque cachée visible.
Pourquoi la détection du fingerprinting est importante
Le fingerprinting d'appareil crée un identifiant unique pour les utilisateurs à partir des caractéristiques du navigateur, des propriétés matérielles et des polices installées. Contrairement aux cookies, les utilisateurs ne peuvent pas facilement supprimer les empreintes, et beaucoup ignorent qu'ils sont suivis de cette façon.
Les implications en matière de confidentialité sont sérieuses. Les régulateurs considèrent de plus en plus le fingerprinting comme une collecte de données personnelles nécessitant un consentement explicite. Si un script d'analytics ou de publicité effectue du fingerprinting des visiteurs sur votre site sans divulgation appropriée, vous héritez de ce risque de conformité.
Le scanner identifie quels scripts utilisent des techniques de fingerprinting et quelles méthodes ils emploient, vous permettant de décider quels tiers ont leur place sur vos pages.
Limites du scanner
Le scanner présente des limites réelles qu'il faut comprendre. Il charge une page une seule fois, dans un seul navigateur, depuis un seul emplacement — un instantané, pas une surveillance continue.
Il ne détecte pas :
- Les scripts qui varient selon l'utilisateur ; les outils d'ad tech et de tests A/B servent du code différent selon les utilisateurs, les appareils et les zones géographiques
- Les attaques intermittentes ; les skimmers Magecart qui ne se déclenchent qu'au moment du paiement pour certaines plages d'IP ou certains user agents
- Les injections post-chargement ; les scripts qui chargent du code supplémentaire dynamiquement en fonction des interactions utilisateur
- Les modifications du tag manager ; les conteneurs GTM peuvent être mis à jour à tout moment sans déploiement
Aucun scanner ne peut observer ce qui s'exécute dans le navigateur de vos utilisateurs réels au fil du temps. C'est dans l'écart entre un audit ponctuel et une surveillance continue que se cachent les attaques.
Là où cside prend le relais
cside comble cet écart grâce à une surveillance continue de la sécurité côté client. Plutôt que de scanner une seule fois, cside proxifie les scripts avant qu'ils n'atteignent le navigateur, en inspectant le code en temps réel sur l'ensemble des utilisateurs et des sessions.
Cela permet de détecter ce que les instantanés manquent : les scripts qui se comportent différemment pour certains utilisateurs, le code qui change après la revue, et les compromissions de la chaîne d'approvisionnement qui affectent des conditions spécifiques. Les vraies attaques n'attendent pas votre prochain audit planifié.
Essayez-le
Le scanner est gratuit et open source sur ClawHub :
npx clawhub@latest install cside-site-scannerDemandez ensuite à votre agent IA de scanner n'importe quel site.
Si les résultats soulèvent des inquiétudes, nous sommes là pour vous aider !
