Méthodes, portée et limites

Trois méthodes, une seule évaluation

Toutes les méthodes appliquent les mêmes règles d’évaluation fixes. Aucune IA générative n’est utilisée. Seule l’origine de l’information diffère :

• Vérifier un site : l’indication de version provient d’un en-tête de réponse HTTP. Elle est considérée comme une indication de version non vérifiée.
• Fichier de vérification : un petit fichier PHP signé placé sur votre hébergement indique la version que votre site exécute réellement. Il s’agit d’une information confirmée.
• Analyser une version : l’information vient de vous. Elle est considérée comme une saisie manuelle et n’est pas vérifiée par le service.

Déroulement du contrôle externe

1. L’adresse est vérifiée sur notre serveur : uniquement http:// ou https://, ports standard, sans identifiants, sans paramètres, sans adresses IP. En l’absence de protocole, https:// est ajouté ; les noms de domaine internationalisés sont convertis en leur forme ASCII.
2. Le nom de domaine est résolu par DNS. Si une seule adresse pointe vers un réseau interne, réservé ou bloqué, aucune requête n’est effectuée.
3. La connexion est liée de manière fixe à l’adresse IP vérifiée. Le certificat et le nom du serveur sont contrôlés normalement.
4. Une requête HEAD est ensuite envoyée. Uniquement si le serveur ne prend pas en charge HEAD (HTTP 405 ou 501), un GET est envoyé, dont le corps de réponse est immédiatement interrompu.
5. Trois redirections au maximum sont suivies, et chaque cible est à nouveau vérifiée. Aucun passage de HTTPS à HTTP n’est accepté.
6. Seule la réponse finale est évaluée. Les en-têtes X-Powered-By et Server sont analysés, et uniquement les indications explicitement marquées comme PHP (par ex. PHP/8.3.36).

L’ensemble de l’opération est limité à 20 secondes. Les cookies, identifiants ou en-têtes de votre navigateur ne sont pas transmis au site cible. Le site cible voit l’adresse IP de notre serveur (195.90.214.181) et l’identifiant PHP-Checker/1.0 (+https://php-checker.de/pruefumfang).

Résultats et signification

Indication de version inférieure à la version corrigée

La version signalée est inférieure, dans la même branche, à la première version corrigée. Vérifiez si votre fournisseur a rétroporté un correctif et organisez la mise à jour.

Indication de version correspondant à une version corrigée

La version signalée atteint la version corrigée. L’indication n’est pas vérifiée et ne s’applique pas automatiquement à tous les processus PHP.

Vérification auprès du fournisseur requise

Un paquet de fournisseur basé sur une version plus ancienne. Un rétroportage n’est établi qu’avec une preuve du fournisseur valable pour ce paquet précis et les deux CVE.

Version préliminaire – vérification distincte requise

Les versions alpha, bêta, RC ou de développement ne reçoivent pas de validation pour la production.

Branche sans version corrigée officielle

Pour les anciennes branches (par ex. 8.1 et antérieures), le projet PHP n’indique aucun correctif. Elles ne sont pas considérées comme corrigées du fait de leur numéro de version.

Branche absente des données de vérification

Les branches nouvelles ou inconnues ne sont analysées qu’après l’intégration de sources fiables.

Niveau de correctif indéterminable de l’extérieur

Aucune indication PHP exploitable, univoque ou cohérente. Ce n’est pas un jugement de sécurité – ni positif ni négatif.

Vérification non terminée

Erreur, délai dépassé, blocage ou interruption. Une vérification non terminée ne lève jamais l’alerte.

Limites de l’analyse

• Une indication de version n’est pas une preuve de correctif. Les en-têtes peuvent provenir d’un cache, d’un proxy, d’un système de protection, d’une page d’erreur ou d’une autre application.
• Une version à jour ne confirme ni le paquet installé ni tous les processus PHP en cours d’exécution. PHP-FPM n’est pas exclu d’office des failles.
• L’exploitabilité réelle n’est pas vérifiée.
• Infection : non vérifiée. Une mise à jour n’exclut pas une infection antérieure.

Ce que PHP Checker ne propose pas

La détection de logiciels malveillants, les scans de ports, les audits complets de WordPress ou d’autres CMS, la vérification d’autres logiciels et les réparations automatiques de serveurs ne font pas partie des fonctionnalités. Chacune de ces tâches nécessiterait un périmètre de vérification propre et défini.

Protection contre les abus

Pour éviter que le service ne soit détourné en proxy ouvert ou utilisé contre des serveurs tiers, des limites fixes s’appliquent par utilisateur, par site cible et pour l’ensemble du service, ainsi qu’un nombre limité de vérifications simultanées. Si une limite est atteinte, un message vous invite à patienter. Si la limitation est défaillante, aucune requête n’est lancée.