Outils cyber gratuits : choisir selon la tâche et les preuves

Un outil cyber utile répond à une question précise. Décoder un JWT, comparer deux réponses HTTP et calculer un score CVSS sont trois tâches différentes. Leur succession peut aider à documenter un problème, mais ne démontre pas à elle seule une vulnérabilité.

La boîte à outils rootzero réunit des utilitaires gratuits exécutés dans le navigateur. Ce guide explique lesquels ouvrir et comment interpréter leur sortie. Les outils cités traitent les éléments que vous fournissez ; ils ne remplacent pas une observation de l’application ni l’autorisation de la tester.

Choisir par entrée et par décision

Votre entrée	Outil	Décision possible	Ce qui reste à vérifier
Un JWT	JWT Inspector	Lire les claims et examiner la structure	La vérification réellement faite par le serveur
Une URL de connexion	OAuth Inspector	Examiner les paramètres OAuth et OIDC	La configuration et le comportement du fournisseur
Un document d’API	OpenAPI Inspector	Préparer un inventaire de routes	Les routes réellement déployées et leurs droits
Deux échanges HTTP	HTTP Diff	Repérer des changements de statut, d’en-têtes et de corps	L’identité utilisée et la signification métier des différences
Une politique CSP	CSP Analyzer	Repérer les directives à examiner	La politique effective dans le navigateur et le contexte de la page
Un extrait de journal	IOC Extractor	Extraire et normaliser des indicateurs	Leur origine et leur lien avec une activité hostile
Une gravité à documenter	Calculateur CVSS	Reproduire le calcul d’un vecteur	Les hypothèses de chaque métrique et la priorité métier
Une preuve à partager	Evidence Sanitizer	Préparer un extrait avec des éléments sensibles masqués	Une dernière relecture et le maintien de la valeur de preuve

Le résultat d’un parseur dépend aussi de la qualité de l’entrée. Une réponse tronquée ou un journal sans date peut rester insuffisant malgré une sortie lisible.

Parcours 1 : comprendre un problème d’authentification

Commencez avec un jeton de démonstration ou un extrait autorisé. Identifiez son format, ses claims et son expiration. Le décodage d’une charge utile ne prouve pas l’authenticité du jeton : il faut distinguer lecture, vérification de signature et acceptation par l’application.

Si le parcours utilise OAuth, examinez ensuite l’URL d’autorisation et le callback. Gardez les valeurs nécessaires à l’analyse, mais ne partagez pas de code de connexion actif ou de secret client. Un diagnostic utile relie une observation à sa précondition ; il ne conclut pas à une faille uniquement parce qu’un champ semble inhabituel.

L’article JWT : cinq erreurs d’implémentation approfondit la vérification côté serveur. Pour une évaluation d’ensemble, préparez les comptes, les rôles et les parcours décrits dans la méthode de pentest SpectrAI.

Parcours 2 : comparer des accès à une API

Utilisez une requête et une réponse de référence pour chaque rôle autorisé. Dans HTTP Diff, comparez les corps et les en-têtes. Une différence de taille peut provenir d’une date ou d’un identifiant ; une réponse identique peut aussi masquer une erreur de contexte. Le statut HTTP seul ne suffit pas.

Dans un exemple fictif, deux comptes reçoivent un statut 200 pour un document. La question est de savoir si le document appartient à l’organisation attendue et si le second compte devait y accéder. Conservez l’association entre compte, objet et réponse. Ne placez pas les identifiants de session dans un rapport public.

OpenAPI aide à organiser les routes annoncées ; son inventaire ne prouve pas que les contrôles d’accès sont appliqués. Les outils rendent les observations comparables, puis l’analyse explique leur impact.

Parcours 3 : préparer un constat exploitable

Un extrait de preuve doit conserver les préconditions, l’actif, les étapes et le résultat. Masquez les secrets avant de transmettre une copie. Vérifiez que les remplacements n’ont pas détruit le lien entre la requête et la réponse. Un masquage automatique ne dispense pas de cette revue.

Pour une cotation CVSS, conservez le vecteur et la justification des métriques. La spécification FIRST décrit la sévérité et les groupes de métriques. La priorité de correction doit aussi tenir compte de l’exposition et du contexte métier.

Le rapport d’exemple SpectrAI permet d’examiner un format de restitution. Il illustre un livrable, sans prédire les constats d’une autre application.

Traitement local : ce que cela signifie

Les utilitaires du catalogue effectuent leur calcul dans le navigateur. Charger le site reste une requête réseau. Copier un résultat, l’enregistrer ou ouvrir un lien externe peut le faire sortir de ce contexte selon votre action. Le traitement local ne sécurise pas un poste compromis et ne transforme pas des données confidentielles en données publiques.

Préférez les jeux de démonstration lorsque vous expliquez une méthode. Pour un MSP, séparez les données de chaque client et définissez quels éléments peuvent rejoindre le rapport. Pour suivre les nouveaux guides, utilisez les flux RSS de rootzero.