Ce que SondaBot demande, et comment l'exclure.

Qui est-ce ?

SondaBot est le robot de Sonda, un diagnostic de sécurité destiné aux TPE et aux indépendants. Il ne parcourt pas le web de lui-même : il visite un site uniquement quand une personne en saisit l'adresse sur sonda.fr, généralement le propriétaire du site ou son prestataire.

Il s'identifie à chaque requête par cet agent utilisateur :

Mozilla/5.0 (compatible; SondaBot/2.0; +https://sonda.fr/robot)

Deux modes

SondaBot a deux manières de travailler, et la plus poussée n'est permise que sur un site dont on a prouvé le contrôle.

L'analyse publique, pour tout le monde

C'est une visite, en profondeur. Pour un domaine donné, SondaBot peut demander :

• la page d'accueil en http et en https (redirections suivies), puis une dizaine de pages du même site trouvées par ses liens et son sitemap.xml, en respectant les Disallow de votre robots.txt ;
• /robots.txt et /.well-known/security.txt ;
• les scripts que ces pages référencent elles-mêmes (une vingtaine au plus) ;
• une connexion TLS pour lire le certificat ;
• des requêtes DNS publiques (TXT, MX, CAA, sélecteurs DKIM connus), une requête RDAP au registre de votre domaine, et une recherche de sous-domaines dans les journaux de transparence des certificats.

Soit quelques dizaines de requêtes au plus, en moins d'une minute, avec les en-têtes d'un navigateur ordinaire. Un même domaine n'est pas réanalysé pendant 10 minutes. Les réponses sont lues jusqu'à deux mégaoctets.

L'analyse approfondie, pour le propriétaire

Sur demande, et seulement après une preuve que vous contrôlez le domaine (un enregistrement DNS TXT ou un fichier à une adresse /.well-known/ dédiée, que Sonda revérifie avant chaque analyse), SondaBot peut faire des contrôles plus directs sur votre propre site : fichiers sensibles exposés, interfaces d'administration publiques, listage de répertoires, méthodes HTTP activées, CORS trop ouvert, et, sur les adresses publiques de votre domaine, une simple tentative de connexion sur les ports de services sensibles (sans rien envoyer). Même dans ce mode, SondaBot ne tente jamais de se connecter, n'envoie aucune charge offensive, n'écrit rien, et ne touche jamais une adresse non publique. Le rapport approfondi est plus sensible : son adresse est encore plus difficile à deviner et il vit moins longtemps.

Ce qu'il ne fait jamais sans preuve de contrôle

• Aucun chemin deviné, aucun port scanné, aucune méthode autre que GET, aucun en-tête falsifié.
• Aucune tentative de connexion, aucun formulaire soumis, aucune donnée envoyée.
• Aucune donnée personnelle extraite du site analysé.
• Aucune connexion vers une adresse privée, quelle que soit la redirection.

Exclure votre domaine

1. Par robots.txt. Ajoutez ces lignes à la racine de votre site :
   User-agent: SondaBot
Disallow: /
   Un refus général (User-agent: *) n'est pas pris en compte : Sonda n'est pas un robot d'indexation, il visite votre site à la demande d'une personne, comme un navigateur ou un service d'aperçu de lien. Il faut nommer SondaBot pour l'exclure.
2. Sur simple demande. Écrivez par courrier à l'éditeur, à l'adresse de son siège (voir les mentions légales), en indiquant le domaine. Il est ajouté à la liste d'exclusion, sous-domaines compris, et les rapports existants qui le concernent sont supprimés. Aucune justification n'est demandée.

Les rapports

Un rapport est une page à une adresse impossible à deviner, non indexée, supprimée après 90 jours. Il ne contient que des constats techniques (en-têtes, attributs de cookies, versions, enregistrements DNS), jamais le contenu du site ni de donnée personnelle. La page méthode détaille chaque contrôle.