Vérification d'un domaine

Avant de pouvoir examiner un domaine sur internet, ASoC doit vérifier que vous êtes autorisé à l'examiner. La vérification n'est pas nécessaire pour les domaines non disponibles sur Internet (sites privés).

Pourquoi et quand exécuter cette tâche

Vous pouvez vérifier un domaine soit en ajoutant un petit fichier à son dossier racine, soit en confirmant votre droit en cliquant sur un lien dans un e-mail.

Procédure

  1. Dans Gouvernance > Domaines DAST, cliquez sur Vérifier un nouveau domaine.
  2. Saisissez le domaine à vérifier, puis cliquez sur Suivant.
    N'incluez pas le protocole. Spécifiez un sous-domaine uniquement si vous souhaitez vérifier ce sous-domaine.
    Par exemple, pour vérifier un domaine et tous les sous-domaines, saisissez my-domain.com.
  3. Sélectionnez votre méthode de vérification préférée, puis cliquez sur Suivant :
    • Fichier dans le dossier racine du domaine
    • Adresse e-mail de l'administrateur du domaine
  4. Si vous avez choisi de vérifier par fichier :
    1. Saisissez le protocole de domaine et l'emplacement du dossier racine.
      Vous pouvez tester l'URL pour confirmer que vous avez saisi les informations correctes.
    2. Cliquez sur Télécharger.
    3. Placez le fichier dans le dossier racine du domaine.

      Si vous n'avez pas les autorisations nécessaires pour accéder à cet emplacement, vous pouvez effectuer cette étape au sein de votre organisation.

  5. Si vous avez choisi de vérifier par e-mail :
    1. Saisissez l'adresse e-mail du propriétaire du domaine, puis cliquez sur Envoyer l'e-mail.
    2. Contactez directement le propriétaire du domaine pour lui demander de répondre à l'e-mail
  6. Cliquez sur Terminé.
    Le site est ajouté à la liste des domaines, avec le statut « En attente ». La première fois que vous exécutez un examen, ASoC vérifie le fichier que vous avez ajouté et définie le statut sur « Vérifié ». Les domaines non vérifiés après 30 jours sont supprimés de la liste.

Exemple

Si votre application inclut des liens vers des URL en dehors du domaine de l'URL de départ, elles doivent être vérifiées pour être incluses dans l'examen (sauf s'il s'agit de sites privés et que vous utilisez une instance AppScan Presence). Prenons les exemples suivants :

Sous-domaines :

L'URL de départ est : http://a.com/home/.

Le site contient des liens vers http://b.a.com, qui est un sous-domaine de a.com.

Le sous-domaine est automatiquement inclus dans le processus de vérification, mais n'est pas examiné par défaut. Pour examiner des sous-domaines, vous devez les ajouter explicitement à la liste Domaines à tester dans ASoC lorsque vous soumettez un examen ou les inclure dans le fichier de modèle d'examen.

Domaines parallèles ou parents :

URL de départ : http://b.a.com/home/.

Le site contient des liens vers un domaine parallèle http://c.a.com, ou un domaine parent, http://a.com et vous souhaitez que ces liens soient inclus dans l'examen.

Pour garantir une couverture totale :
  • Vérifiez a.com, OU
  • Vérifiez b.a.com et c.a.com, et lors de la création de l'examen dans Créer un examen > Dynamique (DAST), décochez la case Inclure uniquement les liens dans et sous ce répertoire.