Comprendre les résultats

Le risque n’est pas la couverture

La gravité décrit un risque détecté. La couverture décrit ce qui a réellement été vérifié. Une analyse inachevée ou une surface publique sans détection ne prouve pas que toute la plateforme est sécurisée.

Lisez les preuves

Ouvrez une détection pour voir les observations, leur importance et la prochaine action. Distinguez les observations en ligne des indices dans le code ou la configuration. Les accès manquants et contrôles non exécutés restent des limites, pas des preuves de sécurité.

Prioriser avec la gravité, sans déduire l’exhaustivité

Critique, Élevée, Moyenne et Faible décrivent l’impact des problèmes identifiés. L’achèvement indique si le travail prévu est terminé. Un résumé Moyen ne prouve pas l’absence d’une détection Critique ailleurs : consultez la liste et ses filtres en parallèle.

1. Lire d’abord l’avis d’achèvement et la couverture.
2. Filtrer les risques confirmés par gravité et plateforme.
3. Lire ressource affectée, preuve et limite avant d’attribuer le problème.

Reconnaître les types de preuve

Une observation en ligne décrit la réponse réelle d’une requête ou d’un navigateur dans un contexte précis. Une revue du code montre une configuration. Un contrôle indisponible décrit une limite, pas une vulnérabilité. Adresses, en-têtes, code et identifiants de règles restent inchangés entre langues pour conserver leur traçabilité.

Exemple : plusieurs chemins renvoyant le même squelette HTML avec un statut 200 ne prouvent pas une API publique d’utilisateurs. Un rejeu en 401 indique un refus dans ce contexte, pas un accès non autorisé réussi.

Traiter l’incertitude sans la masquer

Si la preuve diffère du comportement actuel, comparez commit, déploiement, contexte de connexion et date. Utilisez la revérification lorsqu’elle est disponible. Pour une détection contestée, envoyez sa référence et une explication nettoyée via Aide, sans identifiants ni données clients.