Serveur auto-hébergé exposant FTP actif et CMS abandonné. Toute l'infrastructure du cabinet est concentrée sur une seule machine.
| Hôte | Infrastructure | Stack Technique | Statut |
|---|---|---|---|
| www.fidatex.fr | LWS France | Apache · WordPress 4.8 | ACTIF |
| Messagerie (Postfix) | Serveur propre LWS | Postfix · Dovecot | AUTO-HÉBERGÉ |
| mail.fidatex.fr | LWS France | SMTP · IMAP · POP3 | EXPOSÉ |
| serveur.fidatex.fr | LWS France | FTP · SSH · HTTP | POINT CRITIQUE |
Un service de transfert de fichiers (Pure-FTPd) est actif et accessible depuis Internet sur le serveur principal du cabinet. Ce protocole ancien transmet les identifiants et les données en clair sur le réseau. Ce service est hébergé sur la même machine que le site web et la messagerie du cabinet — un accès non autorisé compromet l'ensemble de l'infrastructure en un seul point.
MITRE T1071 · T1078Le site du cabinet tourne sur une version de WordPress datant de 2017, officiellement abandonnée et non maintenue. Des dizaines de vulnérabilités publiquement documentées existent sur cette version, permettant potentiellement une prise de contrôle du site ou un accès aux données du serveur. Un CMS non mis à jour est une porte d'entrée connue et exploitée massivement par des outils automatisés.
MITRE T1190 · T1059Un service d'administration système est détecté sur un port non standard (5804) du serveur principal. L'utilisation d'un port inhabituel indique une tentative de discrétion, mais le service reste visible et indexé publiquement. Exposé sur Internet, il constitue un point d'entrée potentiel vers l'ensemble du serveur hébergeant site, messagerie et fichiers du cabinet.
MITRE T1021 · T1133Environ vingt suites de chiffrement obsolètes restent actives sur le serveur, dont plusieurs sans Forward Secrecy. Le mécanisme HSTS est également absent. Malgré un grade A maintenu, cette configuration signale un serveur configuré une fois et jamais revisité — cohérent avec la présence de WordPress 4.8 non mis à jour.
MITRE T1600SPF et DMARC correctement configurés — confirmés MXToolbox. Messagerie auto-hébergée sur serveur propre (Postfix + Dovecot) — même machine que le FTP et le site web.
Ce rapport constitue une photographie de l'exposition numérique à un instant T. Les infrastructures web étant dynamiques, certaines informations peuvent varier selon les cycles de mise à jour des bases de données de reconnaissance. Ce diagnostic ne se substitue pas à un audit d'intrusion complet mais identifie les vecteurs d'attaque visibles et exploitables.
Ce rapport couvre l'analyse de surface. Les vecteurs d'exposition complémentaires et le plan correctif complet sont disponibles après validation du mandat d'analyse.